Circulaire CSSF 26/906 — Circulaire CSSF 26/906

Circulaire CSSF 26/906 Administration centrale, gouvernance interne et gestion des risques Circulaire CSSF 26/906 Administration centrale, gouvernance interne et gestion des risques À tous les établissements de paiement et établissements de monnaie électronique Luxembourg, le 20 janvier 2026 Mesdames, Messieurs, Les articles 11, paragraphe 2 et 24-7, paragraphe 2, de la loi modifiée du 10 novembre 2009 relative aux services de paiement (« LSP ») exigent des établissements de paiement et des établissements de monnaie électronique, compte tenu de la nécessité de garantir la gestion saine et prudente de ces établissements, qu’ils disposent d’un solide dispositif de gouvernance interne, comprenant notamment une structure organisationnelle claire avec un partage des responsabilités qui soit bien défini, transparent et cohérent, des processus efficaces de détection, de gestion, de contrôle et de déclaration des risques auxquels ils sont ou pourraient être exposés, des mécanismes adéquats de contrôle interne, y compris des procédures administratives et comptables saines, ainsi que des mécanismes de contrôle et de sécurité de leurs systèmes informatiques. L’octroi et le maintien de l’enregistrement des prestataires de services d’information sur les comptes requiert en référence aux articles 48-1bis et 8, paragraphe 1, lettre e), de la LSP que ces prestataires de services d’information sur les comptes disposent d’un dispositif de gouvernance interne et de mécanismes de contrôle incluant notamment des procédures administratives, de gestion des risques et comptables, qui démontrent que ce dispositif de gouvernance interne, ces mécanismes de contrôle et ces procédures sont proportionnés, adaptés, sains et adéquats. De ce fait, la présente circulaire s’applique aux prestataires de services d’information sur les comptes, aux fins de laquelle ils sont traités comme des établissements de paiement tout en tenant compte de l’application du principe de proportionnalité. Dans le passé, la Commission de Surveillance du Secteur Financier (« CSSF ») avait précisé les modalités d’application de ces articles dans différentes circulaires. La CSSF a décidé de consolider l’ensemble des modalités d’application clés en matière de d’administration centrale, de gouvernance interne et de gestion des risques dans une circulaire unique. Cette circulaire prend en compte les orientations de l’Autorité Bancaire Européenne sur les informations à fournir pour l’agrément d’établissements de paiement et d’établissements de monnaie électronique et pour l’enregistrement de prestataires de services d’information sur les comptes au titre de l’article 5, paragraphe 5, de la directive (UE) 2015/2366 (EBA/GL/2017/09) 1. Les circulaires IML 95/120, IML 96/126, IML 98/143 et CSSF 04/155 seront abrogées dans le chef des établissements de paiement et des établissements de monnaie électronique et les circulaires CSSF 11/510 et CSSF 11/520 seront modifiées. La présente circulaire constitue un premier pas vers un recueil réglementaire consolidé en matière de gouvernance interne au sens large. Elle ne comprend pas l’ensemble des domaines visés, comme par exemple ceux de la gestion des risques liés aux technologies de l’information et de la 1 Ces orientations sont adoptées au Luxembourg au travers de la circulaire CSSF 18/677. CIRCULAIRE CSSF 26/906 2/55 communication (TIC), de la notification d’incidents majeurs, de la rémunération ou de l’externalisation qui sont couverts par des circulaires distinctes. Lorsqu’en réponse à des développements réglementaires sur le plan européen, international ou national, la CSSF est amenée à préciser les exigences reprises dans la présente circulaire, elle procédera à la mise à jour de cette circulaire. CIRCULAIRE CSSF 26/906 3/55 TABLE DES MATIÈRES Partie I. Définitions et champ d’application ........................................................................... 6 Chapitre 1. Définitions ...................................................................................................... 6 Chapitre 2. Champ d’application et proportionnalité .............................................................. 7 Partie II. Dispositif en matière d’administration centrale, de gouvernance interne et de gestion des risques ................................................................................................................ 8 Chapitre 1. L’administration centrale .................................................................................. 8 Chapitre 2. Le dispositif de gouvernance interne .................................................................. 9 Chapitre 3. Propriétés génériques d’un dispositif solide en matière d’administration centrale et de gouvernance interne ....................................................................................................... 11 Chapitre 4. L’organe de surveillance et l’organe de gestion .................................................. 12 Sous-chapitre 4.1. L’organe de surveillance .................................................................... 12 Section 4.1.1. Responsabilités de l’organe de surveillance.............................................. 12 Section 4.1.2. Composition et qualification de l’organe de surveillance ............................ 15 Section 4.1.3. Organisation et fonctionnement de l’organe de surveillance ....................... 17 Section 4.1.4. Comités spécialisés .............................................................................. 18 Sous-chapitre 4.2. L’organe de gestion .......................................................................... 19 Section 4.2.1. Responsabilités de l’organe de gestion .................................................... 19 Section 4.2.2. Composition et qualification de l’organe de gestion ................................... 22 Section 4.2.3. Organisation et fonctionnement de l’organe de gestion ............................. 24 Chapitre 5. Organisation administrative, comptable et informatique ..................................... 25 Sous-chapitre 5.1. L’organigramme et les ressources humaines ........................................... 25 Sous-chapitre 5.2. Les procédures et la documentation interne ............................................ 26 Sous-chapitre 5.3. L’infrastructure administrative et technique ............................................ 27 Section 5.3.1. La fonction financière et comptable ........................................................... 27 Section 5.3.2. La fonction informatique .......................................................................... 29 Section 5.3.3. Le dispositif de communication et d’alerte interne et externe ........................ 29 Chapitre 6. Le contrôle interne ........................................................................................... 30 Sous-chapitre 6.1. Les contrôles opérationnels .................................................................. 31 Section 6.1.1. Les contrôles quotidiens réalisés par le personnel exécutant......................... 31 Section 6.1.2. Les contrôles critiques continus ................................................................ 32 Section 6.1.3. Les contrôles réalisés par les membres de l’organe de gestion sur les activités ou fonctions qui tombent sous leur responsabilité directe ................................................. 32 Sous-chapitre 6. Les fonctions de contrôle interne .............................................................. 33 Section 6.2.1. Responsabilités génériques des fonctions de contrôle interne ....................... 34 Section 6.2.2. Caractéristiques des fonctions de contrôle interne ....................................... 34 Section 6.2.3. Exécution des travaux des fonctions de contrôle interne .............................. 36 Section 6.2.4. Organisation des fonctions de contrôle interne............................................ 37 Section 6.2.5. La fonction compliance ............................................................................ 38 Sous-section 6.2.5.1. La charte de compliance ............................................................. 38 CIRCULAIRE CSSF 26/906 4/55 Sous-section 6.2.5.2. Champ d’application et responsabilités spécifiques de la fonction compliance .............................................................................................................. 39 Sous-section 6.2.5.3. Organisation de la fonction compliance ......................................... 41 Section 6.2.6. Le contrôle des risques ............................................................................ 42 Sous-section 6.2.6.1. Système de gestion des risques ................................................... 42 Sous-section 6.2.6.2. Fonction indépendante de contrôle des risques .............................. 43 Sous-section 6.2.6.3. Gestion des risques de la fonction informatique ............................. 43 Section 6.2.7. La fonction d’audit interne........................................................................ 43 Sous-section 6.2.7.1. La charte d’audit interne ............................................................. 43 Sous-section 6.2.7.2. Responsabilités spécifiques et champ d’application de la fonction d’ audit interne ............................................................................................................ 45 Sous-section 6.2.7.3. Exécution des travaux d’audit interne ........................................... 45 Sous-section 6.2.7.3. Organisation de la fonction d’audit interne .................................... 47 Chapitre 7. Exigences spécifiques........................................................................................ 48 Sous-chapitre 7.1. Structure organisationnelle et entités juridiques (« Know-your-structure ») 48 Sous-chapitre 7.2. Gestion des conflits d’intérêts ............................................................... 48 Section 7.2.1. Exigences générales ................................................................................ 48 Section 7.2.2. Exigences spécifiques relatives aux conflits d’intérêts en relation avec des parties liées ................................................................................................................ 49 Sous-chapitre 7.3. Procédure d’approbation des nouveaux produits (« New Product Approval Process ») ..................................................................................................................... 50 Chapitre 8. Les exigences en matière de protection des fonds ................................................ 51 Sous-chapitre 8.1. Exigences générales ............................................................................ 51 Sous-chapitre 8.2. Protection des fonds par le recours à des comptes dits « de ségrégation » (cf. articles 14, paragraphe 1, lettre

1. a)et 24-10, paragraphe 1, lettre a), de la LSP) .................... 52 Sous-chapitre 8.3. Protection des fonds par le recours à une assurance ou un autre type de garantie (cf. article 14, paragraphe 1, lettre
2. b)et 24-10, paragraphe 1, lettre b), de la LSP) ... 54 Chapitre 9. Reporting légal ................................................................................................. 54 Partie III. Entrée en vigueur ............................................................................................... 55 CIRCULAIRE CSSF 26/906 5/55 Partie I. Définitions et champ d’application Chapitre 1. Définitions 1. On entend aux fins de la présente circulaire par : 1) « établissement » : un établissement de paiement ou un établissement de monnaie électronique conformément au paragraphe 2 du chapitre 2 de la partie I « Champ d’application et proportionnalité » ; 2) « établissement de paiement » : les personnes visées à l’article 1er, point 18), de la LSP ; 3) « établissement de monnaie électronique » : les personnes visées à l’article 1er, point 17), de la LSP ; 4) « fonctions de contrôle interne » : la fonction compliance, la fonction d’audit interne et la fonction de contrôle des risques ; 5) « LSP » : la loi modifiée du 10 novembre 2009 relative aux services de paiement, à l’activité d’établissement de monnaie électronique et au caractère définitif du règlement dans les systèmes de paiement et les systèmes de règlement des opérations sur titres ; 6) « organe de surveillance » : l’organe ou à défaut les personnes qui du point de vue du droit des sociétés contrôlent la gestion exercée par l’organe de gestion. Le terme « organe de surveillance » correspond généralement au conseil d’administration. Toutefois, ce terme n’est pas à prendre dans son acception juridique, puisque les établissements peuvent revêtir une forme juridique qui ne prévoit pas de « conseil d’administration » au sens du droit des sociétés. Par exemple, en présence d’un conseil de surveillance, ce dernier assumera les responsabilités que la présente circulaire attribue au « conseil d’administration » ; 7) « organe de gestion » : les personnes visées aux articles 8, paragraphe 1), lettre
3. i)et 244, lettre i), de la LSP. Ces personnes sont généralement désignées par « dirigeants », « directeur(
4. s)autorisé(
5. s)» ou « direction autorisée » ; 8) « parties liées » : a. les entités (structures) juridiques appartenant au groupe auquel l’établissement appartient ; b. les actionnaires ; c. les membres de l’organe de gestion ou de surveillance de l’établissement ou des entités mentionnées au point a., leurs conjoints ou partenaires enregistrés conformément au droit national applicable et leurs enfants et parents ; d. les entités commerciales dans lesquelles un membre de l'organe de gestion ou de surveillance, ou un membre proche de sa famille tel que visé au point c., détient une participation qualifiée représentant au moins 10 % du capital ou des droits de vote, dans laquelle ces personnes peuvent exercer une influence notable ou dans laquelle ces personnes occupent des postes au sein de l'organe de gestion ou de surveillance ; 9) « prestataires de services d’information sur les comptes » : les personnes visées à l’article 1, point 37quinquies), de la LSP ; 10) « utilisateurs de services de paiement » : les personnes visées à l’article 1er, point 46), de la LSP ainsi que les détenteurs de monnaie électronique ; CIRCULAIRE CSSF 26/906 6/55 11) « succursale » : les sièges d’exploitation visés à l’article 1er, point 39), de la LSP ; 12) « personnel » ou « membres du personnel » : l’ensemble des employés de l’établissement y inclus les employés des succursales, bureaux de représentation ou autre siège rattaché à l’établissement. Les personnes mises à la disposition d’un établissement dans le cadre d’un contrat avec un employeur tiers sont également considérées comme des membres du personnel ; 13) « procédures » : l’ensemble, au sens large, des mesures, instructions et règles qui régissent l’organisation et le fonctionnement interne d’un établissement. Chapitre 2. Champ d’application et proportionnalité 2. La présente circulaire s’applique aux établissements de paiement et aux établissements de monnaie électronique pour lesquels l’État membre d’origine est le Luxembourg, y compris à leurs succursales, ainsi qu’aux succursales luxembourgeoises d’établissements de paiement et d’établissements de monnaie électronique dont l’État d’origine se situe en dehors de l’Espace économique européen et également aux prestataires des services d’information sur les comptes. Pour les domaines où la CSSF conserve une responsabilité de contrôle en tant qu’autorité compétente de l’État membre d’accueil – il s’agit notamment des mesures en matière de lutte contre le blanchiment et le financement du terrorisme, des recours extrajudiciaires – les succursales luxembourgeoises d’établissements de paiement et d’établissements de monnaie électronique originaires d’un État membre de l’Espace économique européen mettent en place un dispositif en matière d’administration centrale et de gouvernance interne ainsi qu’une gestion des risques qui sont comparables à ceux prescrits par la présente circulaire. 3. Les établissements tiennent compte de leur taille et de leur organisation interne ainsi que de la nature, de l’échelle et de la complexité de leurs activités et des risques des services qu’ils fournissent lorsqu’ils élaborent et mettent en œuvre leur dispositif de gouvernance interne. En pratique, l’application du principe de proportionnalité conduit certains établissements à se doter d’un dispositif renforcé en matière d’administration centrale, de gouvernance interne et de gestion des risques. Ce dispositif renforcé peut comprendre, par exemple, l’instauration de comités spécialisés, la nomination de membres additionnels à l’organe de surveillance ou encore à l’organe de gestion. À l’opposé, pour des établissements dont la taille ainsi que la nature, l'échelle et la complexité des activités sont moindres (par exemple les prestataires de services d’information sur les comptes), le principe de proportionnalité peut jouer à la baisse sans préjudice du respect des dispositions légales et en conformité avec les exigences de la présente circulaire. L’application à la baisse du principe de proportionnalité est limitée en particulier par le principe de la ségrégation des tâches qui exige que les tâches et responsabilités doivent être attribuées de façon à éviter les conflits d’intérêts dans le chef d'une même personne. Au niveau de l’organe de gestion, alors que la répartition des tâches s’effectue dans le respect du principe de la ségrégation des tâches, la responsabilité reste collective. CIRCULAIRE CSSF 26/906 7/55 Aux fins de l’application du principe de proportionnalité et afin de garantir une mise en œuvre adéquate des exigences légales et réglementaires y compris aux exigences de la présente circulaire, les établissements tiennent notamment compte des aspects/critères suivants : • les risques et la complexité liés aux types de produits offerts et de services prestés et en particulier la fourniture de services autres que la prestation de services de paiement ou de monnaie électronique y inclus la prestation de service de change, l’octroi de crédits liés aux services de paiement, le cumul de plusieurs autorisations issues du secteur financier, etc. ; • le volume des opérations de paiement et de monnaie électronique (> EUR 10 milliards) ; • la taille de l’établissement selon le chiffre d’affaires et le total de bilan (> EUR 0,5 milliard) ; • le type et le nombre d’utilisateurs des services de paiement ; • le nombre d’employés de l’établissement (c.-à-d. > 50 personnes) ; • le réseau de distribution (reposant sur plus d’une succursale ou un réseau d’agents, distributeurs ou des bureaux de représentation) ; • la taille du groupe (structure d’actionnariat auquel l’établissement appartient) ; • le nombre et la complexité des schémas d’externalisation y inclus au niveau des systèmes et technologies informatiques (et en particulier le niveau de dépendance et de concentration des schémas d’externalisation) ; et • la structure de l’architecture des systèmes informatiques (y inclus la continuité des systèmes). 4. Ainsi, quelle que soit l’organisation retenue, les arrangements en la matière doivent permettre à l’établissement d’opérer dans le plein respect des dispositions prévues à la partie II de la présente circulaire. Les établissements documentent par écrit leur analyse en matière de proportionnalité et en font approuver les conclusions par l’organe de surveillance au moins une fois par an. Partie II. Dispositif en matière d’administration centrale, de gouvernance interne et de gestion des risques Chapitre 1. L’administration centrale 5. Les articles 11, paragraphe 1), et 24-7, paragraphe 1), de la LSP requièrent que les établissements disposent au Luxembourg d’une administration centrale et du siège statutaire de l’établissement. Cette exigence signifie qu’un établissement ne peut pas se limiter à avoir au Luxembourg un siège juridique (« registered office », « Zulassungssitz »). Il doit y avoir également au Luxembourg son centre de prise de décision et son centre administratif (« head office », « effektiver Sitz »). 6. La notion d’administration centrale comporte deux éléments : CIRCULAIRE CSSF 26/906 8/55 • l’« administration » qui englobe au sens large les organes d’administration et de gestion, les fonctions d’exécution et de contrôle interne ; • le « centre » qui signifie l’endroit vers lequel tendent et à partir duquel rayonnent les différents éléments de l’ensemble d’une entreprise. 7. Le centre de prise de décision comprend l’organe de surveillance et les personnes (au minimum deux) membres de l’organe de gestion, chargées de la gestion de l’établissement et qui doivent être habilitées à déterminer effectivement l’orientation de son activité. Il inclut également les responsables des fonctions de contrôle interne, des fonctions commerciales ainsi que des différentes fonctions administratives, informatiques et opérationnelles existant à l’intérieur de l’établissement. Le centre administratif comprend l’organisation administrative, comptable et informatique qui assure en permanence la bonne administration des valeurs et des biens, l’exécution adéquate des opérations, l'enregistrement correct et exhaustif des opérations et la production d'une information de gestion correcte, complète, pertinente, compréhensible et disponible sans délai. L’administration centrale permet à l’établissement d’atteindre toutes formes d’implantation de l’établissement et en particulier les succursales de l’établissement afin de leur fournir toute information nécessaire ou pertinente à la gestion saine et prudente de l’établissement. La notion d’information de gestion s’entend au sens le plus large, incluant l’information financière et le reporting légal, le cas échéant. Sans préjudice des dispositions de la circulaire CSSF 22/806 en matière d’externalisation et en application du principe de proportionnalité (cf. paragraphe 3 de la présente circulaire), les établissements conservent en permanence une structure suffisante et adéquate permettant de garantir à tout moment la maîtrise de l’ensemble des activités de l’établissement. Chapitre 2. Le dispositif de gouvernance interne 8. La gouvernance interne est une composante cruciale de la gouvernance d’entreprise, se concentrant sur la structure interne et l’organisation d’un établissement. La gouvernance d’entreprise est un concept plus vaste qui peut être décrit comme étant l’ensemble des relations entre un établissement, son organe de surveillance, son organe de gestion, ses actionnaires et les autres parties prenantes. 9. La gouvernance interne doit assurer la gestion saine et prudente des activités, y compris des risques qui leur sont inhérents. Le dispositif de gouvernance interne comprend notamment : • une structure organisationnelle et opérationnelle claire et cohérente comportant des pouvoirs de décision, des liens hiérarchiques et fonctionnels et un partage des responsabilités clairement définis, transparents, cohérents, complets et exempts de conflits d’intérêts ; • une structure organisationnelle claire en référence à la prestation des services de paiement et de monnaie électronique de l’établissement comprenant notamment le recours à des agents, des distributeurs, des bureaux de représentation ou des succursales ainsi que les politiques de l’établissement de sélection et de contrôle des agents, distributeurs, bureaux de représentation et succursales ; CIRCULAIRE CSSF 26/906 9/55 • des mécanismes adéquats de contrôle interne qui répondent aux dispositions du chapitre 6 de cette partie. Ces mécanismes comprennent des procédures opérationnelles, administratives, comptables et informatiques saines et des politiques et pratiques de rémunération permettant et promouvant une gestion saine et efficace des risques, en ligne avec la stratégie de l’établissement en matière de risques, ainsi que des mécanismes de contrôle et de sécurité des systèmes d’information de gestion. La notion de système d’information de gestion comprend les systèmes informatiques ; • une procédure formelle d’escalade, de règlement et, le cas échéant, de sanction pour les problèmes, déficiences et irrégularités relevés par le biais des mécanismes de contrôle interne, y compris les fonctions de contrôle interne, et par le biais des mécanismes d’alerte internes ; • un processus clair de prise de risques comprenant un appétit au risque formellement et précisément arrêté dans tous les domaines d’activité et couvrant tous les types de risques auxquels l’établissement est exposé, y inclus les risques de blanchiment de capitaux et de financement de terrorisme, les risques opérationnels et de sécurité liés aux services de paiement ou de monnaie électronique qu’ils fournissent, ainsi qu’un processus décisionnel rigoureux, des analyses de qualité et des limites ; • des processus de détection, de mesure, de déclaration, de gestion, d’atténuation et de contrôle appropriés en vue de gérer l’ensemble des risques auxquels l’établissement est ou pourrait être exposé, y inclus les risques de blanchiment de capitaux et de financement de terrorisme, les risques opérationnels et de sécurité liés aux services de paiement ou de monnaie électronique qu’ils fournissent ; • un dispositif de communication interne qui permet au personnel de l’établissement d’attirer l'attention des responsables sur toutes leurs préoccupations importantes et légitimes liées à la gouvernance interne de l’établissement ; • un dispositif de gestion de continuité des activités visant à limiter les risques de perturbation grave des activités et à assurer le maintien des activités essentielles telles que définies par l’organe de surveillance sur proposition de de l’organe de gestion. Ce dispositif comprend un plan de continuité qui décrit les actions à mettre en œuvre afin de poursuivre les activités en cas notamment d’incident, de sinistre ou de tout autre évènement susceptible de perturber les activités ainsi que des procédures efficaces de gestion des incidents, y compris pour la détection et la classification des incidents opérationnels et de sécurité majeurs ; • un dispositif de gestion de crises qui assure une capacité de réaction appropriée en cas de crise. 10. Tout établissement promeut une culture interne de gestion des risques et de la conformité qui vise à assurer que tout le personnel de l’établissement participe activement au contrôle interne ainsi qu’à la détection, à la déclaration et au contrôle des risques encourus par l’établissement et adopte une attitude positive à l’égard du contrôle interne. Cette culture généralisée des risques et de la conformité, forte et omniprésente, doit également se refléter dans les stratégies, politiques et procédures de l’établissement, les formations proposées et les messages véhiculés aux membres du personnel en ce qui concerne la prise et la gestion des risques et la conformité au sein de l’établissement. Une telle culture se caractérise par l’exemple donné par les organes de surveillance et de gestion (« tone from the top ») et CIRCULAIRE CSSF 26/906 10/55 implique la responsabilisation de tous les membres du personnel pour leurs actes et comportements, un dialogue ouvert et critique et l’absence d’incitation à une prise de risque inappropriée. Cette culture généralisée des risques et de la conformité passe notamment par la communication régulière aux membres du personnel d’informations quant à l’appétit au risque de l’établissement, à la déontologie et aux valeurs d’entreprise de l’établissement dans la perspective d’un déploiement continu d’un robuste et efficace dispositif de contrôle interne. Chapitre 3. Propriétés génériques d’un dispositif solide en matière d’administration centrale et de gouvernance interne 11. Le dispositif en matière d’administration centrale et de gouvernance interne est élaboré et mis en œuvre de sorte qu’il : • fonctionne de manière intègre (« intégrité »). Ce volet inclut aussi bien la gestion des conflits d’intérêts que la sécurité, en particulier en matière de systèmes d’information ; • soit fiable et fonctionne de manière continue (« robustesse »). En vertu du principe de continuité, tout établissement se dote également d’arrangements visant à rétablir le fonctionnement du dispositif de gouvernance interne en cas de discontinuité ; • soit efficace (« efficacité »). L'efficacité s’apprécie en particulier par rapport au fait que les risques sont effectivement gérés et contrôlés ; • réponde aux besoins de l’établissement dans son ensemble et de toutes ses unités organisationnelles et opérationnelles (« adéquation ») ; • soit cohérent dans son ensemble et dans ses parties (« cohérence ») ; • soit complet (« exhaustivité »). En ce qui concerne les risques, l’exhaustivité signifie que l’ensemble des risques doit être inclus dans le périmètre du dispositif de gouvernance interne. Il doit permettre à l’établissement de disposer d’une vue exhaustive sur tous ses risques, en termes de substance économique, en tenant compte de toutes les interactions existant à travers l’établissement et de son réseau de distribution au travers d’agents, de distributeurs, de bureaux de représentation ou de succursales. S’agissant du contrôle interne, le principe d’exhaustivité implique que le contrôle interne porte sur tous les domaines de fonctionnement de l’établissement ; • soit transparent (« transparence »). La transparence comprend une attribution et une communication claires et visibles des rôles et des responsabilités aux différents membres du personnel, à l’organe de gestion et aux unités opérationnelles et organisationnelles de l’établissement ; • soit conforme aux exigences légales et réglementaires, y compris par rapport aux exigences de la présente circulaire, aux exigences réglementaires applicables dans le domaine de la prévention du blanchiment et du financement du terrorisme (« conformité »). CIRCULAIRE CSSF 26/906 11/55 12. En vue d’assurer et de maintenir la solidité du dispositif en matière d’administration centrale et de gouvernance interne, ce dernier fait l'objet d’une réévaluation objective, critique et régulière, au moins une fois par an par l’établissement (cf. également paragraphe 71 de la présente circulaire). Cette réévaluation tient compte de tous les changements internes et externes qui peuvent avoir une influence significative défavorable sur la solidité de ce dispositif dans son ensemble et sur le profil de risque et la capacité de l’établissement à gérer et à supporter ses risques en particulier. Chapitre 4. L’organe de surveillance et l’organe de gestion Sous-chapitre 4.1. L’organe de surveillance Section 4.1.1. Responsabilités de l’organe de surveillance 13. L’organe de surveillance a la responsabilité globale de l’établissement. Il définit, surveille et porte la responsabilité de la mise en place d’un solide dispositif en matière d’administration centrale, de gouvernance, de contrôle interne et de gestion des risques, qui comprend une organisation interne clairement structurée et des fonctions de contrôle interne indépendantes ayant une autorité, une importance et des ressources appropriées à leurs responsabilités. Le cadre mis en place doit permettre d’assurer la gestion saine et prudente de l’établissement, d’en préserver la continuité et d’en protéger la réputation. À cette fin, l’organe de surveillance approuve et arrête par écrit, après avoir entendu l’organe de gestion et les responsables des fonctions de contrôle interne, les éléments clés suivants du dispositif en matière d’administration centrale, de gouvernance interne et de gestion des risques : • la stratégie commerciale (modèle et plan d’affaires) de l’établissement dans le respect des intérêts financiers de l’établissement à long terme, de sa solvabilité, de la préservation de sa liquidité et de son appétit au risque. Le développement et le maintien d’un modèle d’affaires durable exigent la prise en compte de tous les risques matériels ; • le programme d’activités ; • la stratégie de l’établissement en matière de risques, y compris l’appétit au risque et le cadre global de prise et de gestion des risques de l’établissement y compris le cas échéant le risque de crédit et les limites en matière d’octroi de crédit en référence aux exigences de l’article 10, paragraphe 3, de la LSP ; • les principes directeurs en matière de protection de fonds en référence aux exigences des articles 14 et 24-10 de la LSP ; • les principes directeurs qui règlent la création et le maintien par l’établissement d’entités/structures juridiques telles que notamment les succursales, le réseau d’agents, de distributeurs et les bureaux de représentation ; • les principes directeurs en matière de systèmes, de technologie et de sécurité de l’information ; CIRCULAIRE CSSF 26/906 12/55 • les principes directeurs relatifs aux mécanismes de contrôle interne, qui incluent les fonctions de contrôle interne pour qu’ils soient efficaces et efficients ; • les principes directeurs en matière de politique de rémunération ; • les principes directeurs en matière de déontologie, de valeurs d’entreprise et de gestion des conflits d’intérêts ; • les principes directeurs en matière d’escalade et de sanction visant à assurer que tout comportement non respectueux des règles applicables soit adéquatement poursuivi et sanctionné ; • les principes directeurs en matière d’administration centrale au Luxembourg, comprenant : o les moyens humains et matériels que nécessite la mise en œuvre de la structure organisationnelle et opérationnelle ainsi que des stratégies de l’établissement, o une organisation opérationnelle, administrative, comptable et informatique intègre et respectant les lois et standards applicables, o les principes directeurs en matière d’externalisation (« outsourcing »), y compris de nature informatique reposant ou non sur une infrastructure de « cloud computing », ainsi que o les principes directeurs régissant la modification de l’activité (en termes de couverture de marchés et de clientèle, de nouveaux produits et de services) et l’approbation et le maintien d’activités inhabituelles ou potentiellement non transparentes ; • les principes directeurs en matière de continuité des activités et de gestion de crises ; • les principes directeurs régissant la nomination et la succession aux organes de surveillance et de gestion et aux fonctions de contrôle interne de l’établissement, ainsi que les procédures régissant l’organe de surveillance en termes de composition, comprenant les aspects de diversité, de responsabilités, d’organisation, de fonctionnement et d’évaluation individuelle et collective de ses membres ; • la stratégie et les principes directeurs en matière de communication à l’égard de la clientèle et de marketing digital (cf. Internet, média sociaux, applications mobiles, etc.). 14. L’organe de surveillance charge l’organe de gestion de mettre en œuvre les stratégies et principes directeurs par le biais de politiques et de procédures internes écrites (à l’exception des principes directeurs qui régissent la nomination et la succession au sein de l’organe de surveillance et les procédures déterminant son fonctionnement). 15. L’organe de surveillance surveille la mise en œuvre par l’organe de gestion des stratégies et principes directeurs et en est informé. L’organe de surveillance prend, le cas échéant, connaissance des procédures et politiques que l’organe de gestion arrête en vertu de ces stratégies et principes. CIRCULAIRE CSSF 26/906 13/55 16. L’organe de surveillance évalue d’une manière critique, adapte en cas de besoin et réapprouve à des intervalles réguliers, le dispositif de gouvernance interne, comprenant les stratégies clés et principes directeurs et leur mise en œuvre au sein de l’établissement, les mécanismes de contrôle interne et le cadre de prise et de gestion des risques. Ces évaluations et ré-approbations visent à assurer que le dispositif de gouvernance interne continue à répondre aux exigences de la présente circulaire et aux objectifs d’une gestion efficace, saine et prudente des activités. Ces évaluations et leurs ré-approbations par l’organe de surveillance portent en particulier sur : • la manière dont l’organe de gestion s’acquitte de ses responsabilités et les performances de ses membres. Dans ce contexte, l’organe de surveillance revoit et évalue d’une manière critique et constructive les actions, propositions, décisions et informations fournies par l’organe de gestion et veille en particulier à ce que l’organe de gestion mette en œuvre de manière prompte et efficace les mesures correctrices requises pour remédier aux problèmes, déficiences et irrégularités relevés par les fonctions de contrôle interne, le réviseur d’entreprises agréé et/ou toutes autorités compétentes ; • l’adéquation entre les risques encourus, la capacité de l’établissement à gérer ces risques compte tenu des stratégies et principes directeurs précédemment fixés par l’organe de surveillance et la réglementation applicable ; • les stratégies et principes directeurs en vue de les améliorer et de les adapter aux changements internes et externes, actuels et anticipés, ainsi qu’aux enseignements tirés du passé ; • l’adéquation de la structure organisationnelle et opérationnelle dont l’organe de surveillance doit avoir une compréhension parfaite. L’organe de surveillance veille à ce que la structure organisationnelle et opérationnelle permette à l’établissement de respecter ses stratégies et principes directeurs tout en maintenant une gestion saine et prudente des activités. L’organe de surveillance doit avoir une compréhension parfaite de la structure organisationnelle de l’établissement, en particulier en termes des entités ou structures juridiques sous-jacentes, de leur raison d’être, des liens et interactions intra-groupe qui les relient ainsi que des risques y liés. Il vérifie que la structure organisationnelle et opérationnelle correspond aux stratégies et principes directeurs, qu’elle permet une gestion saine et prudente des activités qui est exempte d’opacité et de complexité indue, et qu’elle reste justifiée par rapport aux objectifs assignés. Cette exigence s’applique tout particulièrement aux activités inhabituelles ou potentiellement non transparentes ; • l’efficacité et l’efficience des mécanismes de contrôle interne mis en place par l’organe de gestion. Les évaluations en question peuvent être préparées par des comités spécialisés. Elles se font notamment sur la base des informations reçues de la part de l’organe de gestion, des rapports de révision émis par le réviseur d’entreprises agréé (rapports sur les comptes annuels, comptes rendus analytiques et, le cas échéant, lettres de recommandations), des rapports financiers et des rapports des fonctions de contrôle interne que l’organe de surveillance est appelé à approuver. CIRCULAIRE CSSF 26/906 14/55 17. Il appartient à l’organe de surveillance de promouvoir une culture interne en matière de gestion des risques et de conformité qui sensibilise le personnel de l’établissement aux impératifs d’une gestion saine et prudente des risques qui favorise une attitude positive à l’égard du contrôle interne et de la conformité et de stimuler le développement d’un dispositif de gouvernance interne qui permet d’atteindre ces objectifs. 18. S’agissant des fonctions de contrôle interne, l’organe de surveillance veille à ce que les travaux de ces fonctions soient exécutés suivant des normes reconnues et dans le cadre de politiques approuvées. 19. L’organe de surveillance veille à consacrer un temps suffisant aux thématiques du risque et de la conformité. 20. Lorsque l’organe de surveillance prend connaissance du fait que le dispositif en matière d’administration centrale ou de gouvernance interne ne permet plus une gestion saine et prudente des activités ou un respect des exigences en matière de protection des fonds définies aux articles 14 et 24-10 de la LSP ou que les risques encourus ne sont ou ne seront plus adéquatement supportés par la capacité de l’établissement à couvrir ces risques, par des fonds propres ou des réserves de liquidités internes, il exige de l’organe de gestion qu’il lui présente sans délai des mesures correctrices et en notifie immédiatement la CSSF. L’obligation de notification à la CSSF s’étend également à toutes les informations qui remettent en cause la qualification ou l’honorabilité d’un membre de l’organe de surveillance et/ou de gestion ou d’un responsable d’une fonction de contrôle interne. Section 4.1.2. Composition et qualification de l’organe de surveillance 21. Les membres de l’organe de surveillance doivent être suffisants en nombre conformément aux dispositions légales applicables et présenter dans leur ensemble une composition adéquate qui permet à l’organe de surveillance de s'acquitter pleinement de toutes ses responsabilités et qui garantit une gestion saine et prudente de l’établissement. Le caractère adéquat se réfère en particulier aux qualités professionnelles (connaissances, compétences et expérience adéquates), ainsi qu’aux qualités personnelles des membres de l’organe de surveillance. Par ailleurs, chaque membre doit justifier en permanence de son honorabilité professionnelle. Les principes directeurs régissant la nomination et la succession des membres de l’organe de surveillance expliquent et arrêtent les facultés jugées nécessaires en vue d’assurer une composition et une qualification appropriées de l’organe de surveillance. La CSSF recommande que ces principes directeurs promeuvent les aspects de diversité. Les aspects de diversité peuvent faire référence aux caractéristiques des membres de l’organe de surveillance, y compris leur âge, genre, origine géographique et parcours éducatif et professionnel. La promotion de la diversité repose sur le principe de non-discrimination et sur des mesures garantissant l’égalité des chances. 22. L’organe de surveillance doit disposer collectivement de connaissances, compétences et d’expérience appropriées à la nature, à l’échelle et à la complexité des activités et de l’organisation de l’établissement. CIRCULAIRE CSSF 26/906 15/55 L’organe de surveillance doit avoir collectivement une compréhension appropriée de l’ensemble des activités (et des risques qui leur sont inhérents) ainsi que de l’environnement économique et réglementaire dans lequel évolue l’établissement. 23. Les membres de l’organe de surveillance disposent individuellement d’une parfaite compréhension du dispositif de gouvernance interne et de leurs responsabilités au sein de l’établissement. Ils maîtrisent les activités qui sont du ressort de leur domaine d’expertise, disposent d’une compréhension appropriée des autres activités significatives de l’établissement et se tiennent informés des activités respectivement de l’évolution des activités de l’établissement et des risques auxquels l’établissement est exposé. Nonobstant les domaines d’expertise respectifs des membres de l’organe de surveillance, chaque membre de l’organe de surveillance doit disposer d’une compréhension appropriée de l’ensemble des domaines pour lesquels l’organe de surveillance est collectivement et directement responsable. 24. Les membres de l’organe de surveillance veillent à ce que leurs qualités personnelles leur permettent d’exécuter leur mandat de manière efficace, avec l’engagement, la disponibilité, l’objectivité, le sens critique et l’indépendance d’esprit requis. L’organe de surveillance ne peut pas compter parmi ses membres une majorité de personnes qui assument un rôle exécutif au sein de l’établissement (membres de l’organe de gestion ou autres membres du personnel de l’établissement, à l’exception des représentants du personnel élus conformément à la réglementation applicable). La prise de décisions au sein de l’organe de surveillance ne doit pas être dominée par un seul membre. 25. Les membres de l’organe de surveillance veillent à ce que leur mandat soit et reste compatible avec leurs autres emplois, mandats et intérêts éventuels, en particulier en termes de conflits d’intérêts et de disponibilité. Ils informent de leur propre initiative l’organe de surveillance des emplois, mandats et intérêts éventuels qu’ils ont en dehors de l’établissement. 26. Les termes des mandats des membres de l’organe de surveillance doivent être fixés de manière à permettre à l’organe de surveillance d’exercer ses responsabilités de manière continue et efficace. La reconduction de membres existants doit s’orienter en particulier sur leurs performances passées. La continuité du fonctionnement de l’organe de surveillance doit être assurée. 27. Les principes directeurs régissant la nomination et la succession des membres de l’organe de surveillance prévoient les mesures nécessaires pour que ces membres soient et restent qualifiés tout au long de leur mandat et pour que le fonctionnement et la continuité de fonctionnement de l’organe de surveillance soient assurés. Ces mesures doivent inclure une initiation spécifique pour comprendre la structure, le modèle d’affaires, le profil de risque et le dispositif de gouvernance en vigueur au sein de l’établissement suivie par des programmes de formation professionnelle qui permettent aux membres de l’organe de surveillance de comprendre d’une part, leur rôle, les opérations de l’établissement, et d’autre part, de maintenir à jour et d’approfondir leurs compétences. Les mesures doivent également comprendre des durées de mandat différentes ou décalées ainsi que des dispositions contractuelles permettant d’assurer une transition efficace des connaissances et tâches d’un membre de l’organe de surveillance à son successeur ainsi que de respecter à tout moment le nombre minimal des membres de l’organe de surveillance conformément aux exigences légales applicables. Les mesures doivent également assurer une capacité de réaction appropriée en cas de crise. CIRCULAIRE CSSF 26/906 16/55 28. Les établissements informent au préalable et sans délai la CSSF de toute modification de la composition des membres de l’organe de surveillance et communiquent pour chaque nomination, les informations et documents requis tels que publiés sur le site Internet de la CSSF, et pour les départs, les motifs explicatifs. Section 4.1.3. Organisation et fonctionnement de l’organe de surveillance 29. L’organe de surveillance se réunit régulièrement en vue de s’acquitter de manière efficace de ses responsabilités. L’organisation et le fonctionnement de l’organe de surveillance sont consignés par écrit. Les objectifs et les responsabilités de ses membres sont également documentés par des mandats écrits. La CSSF recommande la tenue de réunions au minimum sur une base trimestrielle. En conformité avec les statuts de l’établissement et les exigences règlementaires applicables, les réunions de l’organe de surveillance peuvent se tenir en présentiel, par visioconférence ou par tout autre moyen de communication électronique permettant à l’ensemble de ses membres de suivre activement les discussions et d’y participer sans contrainte en temps réel. Sauf circonstances exceptionnelles, il est toutefois recommandé aux établissements d’assurer une majorité des réunions au siège de l’établissement au Luxembourg et en présence (sur place) d’une majorité de ses membres afin de stimuler la culture de discussion informée et contradictoire dans le cadre d’une prise de décision efficace. 30. Les travaux de l’organe de surveillance doivent être consignés par écrit. Cette documentation inclut l’agenda et les procès-verbaux des réunions avec les décisions et mesures prises par l’organe de surveillance. Les procès-verbaux sont un outil important qui doit aider l’organe de surveillance et ses membres à faire le suivi des décisions d’une part, et permettre également à l’organe et à ses membres de rendre des comptes aux actionnaires et aux autorités compétentes, d’autre part. Ainsi, des points de routine peuvent figurer de façon succincte sous forme de simple décision au procès-verbal d’une réunion, alors que des points importants de l’ordre du jour impliquant des risques pour l’établissement ou débattus contradictoirement doivent être rapportés en détail, permettant au lecteur de suivre les débats et d’identifier les positions défendues. 31. L’organe de surveillance évalue régulièrement les procédures régissant son mode de fonctionnement et ses travaux en vue de les améliorer, d’en assurer l’efficacité et de vérifier si les procédures qui lui sont applicables sont respectées dans la pratique. Il veille à ce que tous ses membres aient une vision claire de leurs obligations, de leurs responsabilités et de la répartition des tâches au sein de l’organe de surveillance et, le cas échéant, des comités spécialisés qui en dépendent. 32. L’organe de surveillance élit un président parmi ses membres. Il appartient au président de l’organe de surveillance de veiller à son bon fonctionnement, de promouvoir au sein de l’organe de surveillance une culture de discussion informée et contradictoire et de proposer, le cas échéant, la nomination d’un ou plusieurs membres indépendants. Le président de l’organe de surveillance n’assume pas de rôle exécutif au sein de l’établissement sauf lorsqu‘une telle situation est justifiée par l’établissement et acceptée par la CSSF. CIRCULAIRE CSSF 26/906 17/55 La présence d’un ou plusieurs membres indépendants au sein de l’organe de surveillance est recommandée et considérée comme une bonne pratique. Ces membres indépendants peuvent, en effet, jouer un rôle essentiel au sein de l’organe de surveillance et renforcer l’efficacité des contre-pouvoirs au sein de l’établissement en améliorant, le cas échéant, la surveillance de la prise de décisions par l’organe de surveillance. Section 4.1.4. Comités spécialisés 33. En application du principe de proportionnalité (cf. paragraphe 3 de la présente circulaire), la CSSF pourra recommander à certains établissements de créer des comités spécialisés de l’organe de surveillance en fonction de leurs besoins et compte tenu de l’organisation, de la nature, de l’échelle et de la complexité des activités de l’établissement. Leurs missions consistent à fournir à l’organe de surveillance des appréciations critiques concernant l’organisation et le fonctionnement de l’établissement dans leurs domaines de compétences spécifiques. 34. Sans préjudice d’exigences légales et réglementaires spécifiques en la matière, les membres permanents des comités spécialisés sont, selon le cas, des membres de l’organe de surveillance qui n’exercent pas de fonction exécutive au sein de l’établissement. Chaque comité est composé d’au moins trois membres. Lorsqu’il existe au sein d’un établissement plusieurs comités spécialisés, l’établissement doit, dans la mesure où le nombre de membres non-exécutifs de l’organe de surveillance le permet, veiller à ce que les membres des comités respectifs soient différents. L’établissement doit par ailleurs essayer d’assurer une rotation des présidents et membres des comités spécialisés. 35. Les comités spécialisés sont présidés par un de leurs membres. Ces présidents de comité disposent de connaissances approfondies dans le domaine d’activité du comité qu’ils président et assurent un débat informé et contradictoire au sein du comité. 36. Les comités spécialisés se réunissent régulièrement, afin d’exécuter les tâches et travaux qui leur sont alloués ou encore pour préparer les réunions de l’organe de surveillance. Ils peuvent, suivant leurs besoins, se faire assister par des experts externes, indépendants de l’établissement, et peuvent associer à leurs travaux le réviseur d’entreprises agréé, les membres de l’organe de gestion, les autres comités spécialisés, les responsables des fonctions de contrôle interne ainsi que d’autres personnes travaillant pour l’établissement, sans que ces personnes ne soient membres et sans qu’elles ne participent aux recommandations du comité. 37. L’organe de surveillance fixe par écrit la composition, les missions, et les procédures de travail des comités spécialisés. En vertu de ces procédures, les comités spécialisés reçoivent des rapports réguliers des fonctions de contrôle interne sur l’évolution du profil de risque de l’établissement, les infractions par rapport au cadre réglementaire, à la gouvernance interne et à la gestion des risques ainsi que les préoccupations soulevées par l’intermédiaire du dispositif interne d’alerte et les mesures pour y remédier. Ils doivent pouvoir demander tout document et toute information qu’ils jugent utiles pour l’exercice de leur mission. Les comités documentent les agendas de leurs réunions ainsi que les conclusions et recommandations. Par ailleurs, les procédures prévoient les conditions dans lesquelles les experts externes fournissent leur assistance et les modalités selon lesquelles d’autres personnes sont associées aux travaux des comités spécialisés. CIRCULAIRE CSSF 26/906 18/55 38. L’organe de surveillance veille à ce que les différents comités interagissent efficacement, communiquent entre eux et avec les fonctions de contrôle interne et le réviseur d’entreprises agréé et rapportent régulièrement à l’organe de surveillance. L’organe de surveillance ne peut pas déléguer aux comités spécialisés ses pouvoirs et responsabilités en vertu de la présente circulaire. Sous-chapitre 4.2. L’organe de gestion Section 4.2.1. Responsabilités de l’organe de gestion 39. L’organe de gestion est responsable de la gestion journalière efficace, saine et prudente des activités et des risques qui leur sont inhérents. Les membres de l’organe de gestion sont responsables conjointement pour cette gestion qui s’exerce dans le respect des stratégies et principes directeurs approuvés par l’organe de surveillance et de la réglementation applicable, en prenant en considération et en préservant les intérêts financiers de l’établissement à long terme, sa solvabilité et ses liquidités. Cette gestion journalière couvre l’ensemble des fonctions, activités et risques de l’établissement. 40. L’organe de gestion met en œuvre à travers des politiques et procédures internes écrites l’ensemble des stratégies et principes directeurs arrêtés par l’organe de surveillance en matière d’administration centrale, de gouvernance interne et de gestion des risques, dans le respect des dispositions légales et réglementaires et après avoir entendu les fonctions de contrôle interne. Les politiques contiennent les mesures détaillées à mettre en œuvre. Les procédures sont les instructions de travail qui régissent cette mise en œuvre. Le terme « procédures » est à prendre au sens large, comprenant l’ensemble des mesures, instructions, limites internes et règles qui régissent l’organisation et le fonctionnement interne. 41. L’organe de gestion veille à ce que l’établissement dispose des mécanismes de contrôle interne, des infrastructures techniques et des ressources humaines nécessaires pour assurer la gestion saine et prudente des activités et des risques qui leur sont inhérents dans le cadre d’un solide dispositif de gouvernance interne conformément à la présente circulaire. 42. En application des principes directeurs en matière de déontologie, de valeurs d’entreprise et de gestion des conflits d’intérêts arrêtés par l’organe de surveillance (cf. section 4.1.1. de la présente circulaire), l’organe de gestion définit un code de conduite interne applicable à tous les membres du personnel. Il veille à son application correcte sur la base de contrôles réguliers effectués par les fonctions de compliance et d’audit interne. 43. L’objectif de ce code de conduite doit être la prévention des risques opérationnels, de sécurité et de réputation dont l’établissement pourrait souffrir du fait d’amendes administratives ou pénales, de mesures restrictives à son encontre ou de litiges juridiques, de la perte de son image de marque ou de la confiance des utilisateurs de services de paiement. Le code de conduite doit rappeler au personnel, aux membres de l’organe de gestion et de l’organe de surveillance le respect de la réglementation applicable, des règles internes, des principes sous tendant un comportement honnête et intègre en fournissant des exemples de comportements et de pratiques professionnelles acceptables et inacceptables ou interdites, y compris dans le domaine de la lutte contre le blanchiment et le financement du terrorisme, ainsi que les mesures de sanction qui découleraient du non-respect de ce cadre. CIRCULAIRE CSSF 26/906 19/55 44. L’organe de gestion veille à ce que toutes les communications et marketing en particulier sous forme digitale (Internet, média sociaux, applications mobiles, etc.) soient conformes avec la stratégie de l’établissement et garantissent une communication claire, compréhensible, sans ambiguïté sur les services de paiement et/ou de monnaie électronique prestés par l’établissement et adapté dans son langage et sa forme à la clientèle visée par l’établissement. Il veille à la revue régulière de ces communications et marketing y inclus des informations publiées sur site Internet de l’établissement afin d’assurer l’utilisation d’un langage et d’une terminologie appropriée, sans ambiguïté et compréhensible par la clientèle visée par l’établissement en référence aux dispositions du présent paragraphe, du paragraphe 45 de la présente circulaire et en référence aux dispositions du titre III « Transparence des conditions et exigences en matière d’informations régissant les services de paiement » de la LSP. 45. L’organe de gestion veille à ce que l’utilisation de toute terminologie apparentée aux services réservés aux établissements de crédit tels que services bancaires, dépôts, banque ou néobanque, compte bancaire, etc., ou à d’autres établissements (financiers) qui exercent des activités qui ne sont pas couvertes par les agréments d’établissement de paiement ou d’établissement de monnaie électronique, soit proscrite sous toutes ses formes. 46. L’organe de gestion met en œuvre de manière prompte et efficace les mesures correctrices pour remédier aux faiblesses (problèmes, déficiences, irrégularités ou préoccupations) relevées par les fonctions de contrôle interne et le réviseur d’entreprises agréé en prenant en compte les recommandations émises dans ce contexte. Cette manière de procéder est arrêtée dans une procédure écrite que l’organe de surveillance approuve sur proposition de l’organe de gestion et des fonctions de contrôle interne. Suivant cette procédure, les fonctions de contrôle interne classent les différentes faiblesses qu’elles ont identifiées par priorité et fixent, après accord de l’organe de gestion, les délais appropriés endéans lesquels ces faiblesses seront corrigées. L’organe de gestion désigne les unités opérationnelles ou personnes responsables pour la mise en œuvre des mesures correctrices en leur allouant les ressources (budgets, ressources humaines et infrastructure technique) nécessaires à cet effet. Il appartient aux fonctions de contrôle interne de suivre la mise en application des mesures correctrices. Pour tout retard significatif dans la mise en œuvre des mesures correctrices liées au minimum à des faiblesses considérées par les fonctions de contrôle interne comme importantes, l’organe de gestion en informe l’organe de surveillance qui doit accepter les prolongations des délais de mise en œuvre des mesures correctrices. 47. L’établissement met en place une procédure analogue, approuvée par l’organe de surveillance, qui s’applique lorsque la CSSF ou toute autorité compétente demande à l’établissement de prendre des mesures (correctrices). Dans ce cas, tout retard dans la mise en œuvre de ces mesures est à signaler sans délai par l’organe de gestion à l’organe de surveillance et à la CSSF. 48. L’organe de gestion vérifie la mise en application et le respect des politiques et procédures internes. Toute violation des politiques et procédures internes doit entraîner des mesures correctrices promptes et adaptées. 49. L’organe de gestion s'assure régulièrement de la solidité du dispositif en matière d’administration centrale et de gouvernance interne. Il adapte les politiques et procédures internes au regard des changements internes et externes, actuels et anticipés et des enseignements tirés du passé. CIRCULAIRE CSSF 26/906 20/55 50. L’organe de gestion informe au préalable les fonctions de contrôle interne des changements majeurs en matière d’activités ou d’organisation afin de leur permettre de détecter et d’évaluer les risques qui peuvent en résulter. L’organe de gestion veille à ce que le dispositif de gouvernance y inclus le dispositif de contrôle interne reste, eu égard aux changements majeurs d’activités ou d’organisation, complet, fiable, efficace et transparent conformément aux paragraphes 9 et 11 de la présente circulaire. 51. Lorsque l’organe de gestion prend connaissance du fait que le dispositif en matière d’administration centrale et de gouvernance interne ne permet plus une gestion saine et prudente des activités ou un respect des exigences en matière de protection des fonds définies aux articles 14 et 24-10 de la LSP ou que les risques encourus ne sont ou ne seront plus adéquatement supportés par la capacité de l’établissement à couvrir ces risques par des fonds propres ou des réserves de liquidités internes, il en informe l’organe de surveillance et la CSSF en leur fournissant sans délai toute l’information nécessaire pour apprécier la situation et présente à l’organe de surveillance des mesures correctrices. L’obligation de notification à la CSSF porte aussi sur toutes les informations qui remettent en cause la qualification ou l’honorabilité d’un membre de l’organe de surveillance et/ou de gestion ou d’un responsable d’une fonction de contrôle interne. 52. L’organe de gestion désigne parmi ses membres la ou les personnes en charge des fonctions de contrôle interne et, conformément au Règlement CSSF N° 12-02, le responsable du respect des obligations professionnelles en matière de lutte contre le blanchiment et le financement du terrorisme. Les établissements informent au préalable la CSSF de toute modification de la composition des membres de l’organe de gestion, conformément aux dispositions légales y applicables et communiquent pour les nominations les documents requis tels que publiés sur le site Internet de la CSSF et/ou les motifs expliquant leur départ, le cas échéant. 53. En référence au paragraphe 11 de la présente circulaire, le dispositif en matière d’administration centrale et de gouvernance interne est élaboré et mis en œuvre de sorte notamment à ce qu’il fonctionne de manière continue. L’organe de gestion représente une fonction permanente essentielle du dispositif de gouvernance interne de l’établissement, il appartient ainsi à l’établissement et à ses organes de surveillance et de gestion d’assurer et de maintenir un dispositif de gouvernance interne conforme aux exigences légales et aux exigences de la présente circulaire et en particulier d’assurer, en cas de départ d’un membre de son organe de gestion, le maintien du principe des 4 yeux. 54. Il appartient à l’organe de gestion de promouvoir, avec l’organe de surveillance et les fonctions de contrôle interne, une culture interne en matière de gestion des risques et de conformité qui sensibilise le personnel de l’établissement aux impératifs d’une gestion saine et prudente des risques qui favorise une attitude positive à l’égard du contrôle interne et de la conformité et qui stimule le développement d’un dispositif de gouvernance interne qui permet d’atteindre ses objectifs. CIRCULAIRE CSSF 26/906 21/55 Section 4.2.2. Composition et qualification de l’organe de gestion 55. Les membres de l’organe de gestion possèdent, à la fois individuellement et collectivement, les qualités professionnelles (connaissances, compétences et expérience appropriées à la nature, l’échelle et la complexité des activités et de l’organisation de l’établissement), l’honorabilité professionnelle et les qualités personnelles nécessaires pour gérer l’établissement et déterminer effectivement l’orientation de son activité. Les qualités personnelles sont celles qui leur permettent d’exécuter leur mandat de dirigeant de manière efficace, avec l’engagement, la disponibilité, l’objectivité, le sens critique et l’indépendance d’esprit requis. Les principes directeurs régissant la nomination et la succession à l’organe de gestion expliquent et arrêtent les facultés jugées nécessaires en vue d’assurer une composition et qualification appropriées de l’organe de gestion. 56. La CSSF recommande que ces principes directeurs régissant la nomination et la succession à l’organe de gestion promeuvent les aspects de diversité. Les aspects de diversité font référence aux caractéristiques des membres de l’organe de gestion, y compris leur âge, genre, origine géographique et parcours éducatif et professionnel. La promotion de la diversité repose sur le principe de non-discrimination et sur des mesures garantissant l’égalité des chances. 57. L’organe de gestion est composé à tout moment d’au moins deux personnes et ses membres doivent être habilités à déterminer effectivement l'orientation de l'activité. Le principe des 4 yeux doit être appliqué en toutes circonstances par l’organe de gestion. La composition de l’organe de gestion doit refléter le principe que cet organe travaille en collège. Chaque dirigeant doit être en mesure de démontrer sa capacité et son expérience à contribuer effectivement à ce collège dans divers aspects des activités à accomplir. Chaque dirigeant doit avoir une importance ou une influence significative dans la gestion journalière. Le lien hiérarchique entre les dirigeants (le cas échéant) ne peut pas empêcher la capacité de chaque dirigeant à s'opposer à une décision prise dans l’organe de gestion. 58. L’évaluation de la qualification des membres de l’organe de gestion est effectuée sur la base des conditions légales d’honorabilité et d’expérience professionnelles. À ce titre, le professionnel souhaitant devenir membre d’un organe de gestion d’un établissement doit être capable de démontrer l’adéquation de ses compétences avec les exigences légales par des expériences professionnelles antérieures similaires à un niveau élevé de responsabilité et d’autonomie. Il est attendu qu’un membre de l’organe de gestion jouisse d’une expérience et de connaissances suffisantes afin de lui permettre de gérer les activités quotidiennes dans le respect du cadre réglementaire applicable mais aussi des principes de gestion saine et prudente. Cette expérience s’apprécie tant par le niveau des responsabilités précédemment assumées que par la durée durant laquelle celles-ci ont été assumées, mais également par les qualifications acquises par le professionnel. CIRCULAIRE CSSF 26/906 22/55 59. L’organe de gestion doit disposer collectivement de connaissances, compétences et d’une expérience appropriée à la nature, à l’échelle et à la complexité des activités et de l’organisation de l’établissement. Les membres de l’organe de gestion disposent individuellement d’une parfaite compréhension du dispositif de gouvernance interne et de leurs responsabilités au sein de l’établissement. Ils maîtrisent en particulier les activités et fonctions qui tombent sous leur responsabilité directe, disposent d’une compréhension et de connaissances appropriées des autres activités et domaines de responsabilité de l’établissement et se tiennent informés des activités respectivement de l’évolution des activités de l’établissement et des risques auxquels l’établissement est exposé. Nonobstant les domaines d’expertise respectifs des membres de l’organe de gestion, chaque membre de l’organe de gestion doit disposer d’une compréhension appropriée de l’ensemble des domaines pour lesquels l’organe de gestion est collectivement et directement responsable. 60. L’organe de gestion doit avoir une compréhension a de la structure organisationnelle et opérationnelle de l’établissement, en particulier en ce qui concerne son réseau de distribution, sa raison d’être et les risques y liés. Il veille à ce que les informations de gestion requises soient disponibles en temps utile à tous les niveaux de prise de décision et de contrôle de l’établissement et de son réseau de distribution. 61. Les termes des contrats des dirigeants doivent être fixés de manière à permettre à l’organe de gestion d’exercer ses responsabilités de manière continue et efficace. 62. Les principes directeurs régissant la nomination et la succession des membres de l’organe de gestion prévoient les mesures nécessaires pour que ces personnes soient et restent qualifiées tout au long de leur contrat et pour que le fonctionnement et la continuité de fonctionnement de l’organe de gestion soient assurées. Ces mesures doivent inclure une initiation spécifique pour comprendre la structure, le modèle d’affaires, le profil de risque et les dispositifs de gouvernance en vigueur au sein de l’établissement suivi par des programmes de formation professionnelle qui permettent aux membres de l’organe de gestion de comprendre d’une part, leur rôle, les opérations de l’établissement et d’autre part, de maintenir à jour et d’approfondir leurs compétences, y incluses leurs connaissances du cadre règlementaire applicable à l’établissement. Les mesures doivent permettre d’assurer une transition efficace des connaissances et tâches d’un membre de l’organe de gestion à son successeur ainsi que de respecter à tout moment le nombre minimal des membres de l’organe de gestion prévu par la présente circulaire. Les mesures doivent également assurer une capacité de réaction appropriée en cas de crise. 63. Les membres de l’organe de gestion veillent à ce que leurs responsabilités en tant que dirigeants soient et restent compatibles avec leurs autres mandats et intérêts éventuels, en particulier en termes de conflits d’intérêts, d’engagements et de disponibilités. Ils informent de leur propre initiative les autres membres de l’organe de gestion et l’organe de surveillance des mandats et intérêts éventuels qu’ils ont en dehors de l’établissement. CIRCULAIRE CSSF 26/906 23/55 Section 4.2.3. Organisation et fonctionnement de l’organe de gestion 64. L’organe de gestion évalue de façon constructive et critique toutes les propositions, explications et informations qui lui sont soumises pour décision. L’organe de gestion documente ses décisions à l’aide de procès-verbaux de réunions, qui doivent l’aider à faire le suivi des décisions prises d’une part, et lui permettre de rendre compte de sa gestion à l'organe de surveillance et aux autorités compétentes, d’autre part. Ainsi, des points de routine peuvent figurer de façon succincte sous forme de simple décision au procès-verbal d’une réunion, alors que des points importants de l’ordre du jour impliquant des risques pour l’établissement ou débattus contradictoirement doivent être rapportés en détail, permettant au lecteur de suivre les débats et d’identifier les positions défendues. 65. Les membres de l’organe de gestion sont employés par l’établissement ou - à défaut - des dispositions contractuelles appropriées sont établies entre l’établissement et le membre concerné définissant notamment l’engagement et les conditions d’exercice du dirigeant en tant que membre de l’organe de gestion. 66. L’organe de gestion exerce une fonction permanente au sein de l’établissement. Sans préjudice des dispositions définies dans la circulaire CSSF 21/769 « Exigences en matière de gouvernance et de sécurité pour les entités surveillées en vue de l’exécution de tâches ou d’activités via le télétravail » telle que modifiée, ses membres doivent se trouver de façon permanente sur place. 67. La CSSF doit pouvoir contacter de façon directe au Luxembourg les membres de l’organe de gestion. Ces personnes doivent être en mesure de fournir, sans délai, sur toutes transactions ou opérations entreprises par l'établissement dans le cadre de ses activités, toutes les informations que la CSSF juge indispensables à sa surveillance, notamment celles sur la raison d’être et le but de ces transactions et/ou opérations. 68. Dans sa gestion journalière, l’organe de gestion tient compte des conseils et avis formulés par les fonctions de contrôle interne. Lorsque les décisions prises par l’organe de gestion ont ou pourraient avoir une incidence matérielle sur le profil de risque de l’établissement, l’organe de gestion recueille au préalable l’avis de la fonction compliance et, le cas échéant, de la fonction de contrôle des risques. 69. Les membres de l’organe de gestion se répartissent les tâches journalières du suivi rapproché des différentes activités. L’établissement doit organiser cette répartition de manière à éviter les conflits d’intérêts. Ainsi, un même membre de l’organe de gestion ne peut se voir attribuer la charge ou la responsabilité à la fois de fonctions de prise de risque et de contrôle indépendant de ces mêmes risques. Lorsque, en raison de la taille réduite de l’établissement, il est indispensable de regrouper plusieurs tâches et responsabilités sous une même personne, ce regroupement doit être organisé de sorte à ne pas porter préjudice à l’objectif poursuivi par la séparation des tâches. 70. L’organe de gestion informe, de manière adéquate, par écrit, régulièrement et au moins une fois par an, l’organe de surveillance sur la mise en œuvre, l’adéquation, l’efficacité et le respect du dispositif de gouvernance interne, comprenant l’état du contrôle interne. À cette occasion, il se prononce sur la réalisation des objectifs du contrôle interne, décrit les moyens mis en œuvre et présente un résumé des principales constatations faites, des insuffisances relevées, notamment par les fonctions de contrôle interne, des mesures correctrices décidées et du suivi effectif de ces mesures. CIRCULAIRE CSSF 26/906 24/55 71. Une fois par an, l’organe de gestion confirme à la CSSF le respect de la présente circulaire par le biais d’une phrase écrite unique suivie des signatures de tous les membres de l’organe de gestion. Lorsqu’en raison d’un manque de conformité, l’organe de gestion n’est pas en mesure de confirmer le respect intégral de la présente circulaire, la déclaration précitée prend la forme d’une réserve qui énonce clairement et sommairement les points de non-conformité en donnant des explications sur leurs raisons d’être et les mesures décidées et/ou déjà prises pour remédier aux points de non-conformité. Cette attestation est à soumettre à la CSSF dans les meilleurs délais et au plus tard le dernier jour du troisième mois qui suit la date de clôture de l’exercice financier de l’établissement. Chapitre 5. Organisation administrative, comptable et informatique Sous-chapitre 5.1. L’organigramme et les ressources humaines 72. Conformément aux articles 11, paragraphe 2 et 24-7, paragraphe 2, de la LSP, les établissements doivent justifier d’une bonne organisation administrative et comptable ainsi que de procédures de contrôle interne adéquates. 73. L’établissement doit disposer sur place de ressources humaines suffisantes et disposant de compétences professionnelles individuelles et collectives appropriées afin d’agir et prendre des décisions dans le cadre des stratégies arrêtées par l’organe de surveillance et des politiques fixées par l’organe de gestion et conformément aux pouvoirs délégués, et afin d’exécuter les décisions prises dans le respect des procédures et de la réglementation existantes. 74. L’organigramme et la description des tâches sont à fixer par écrit et à mettre à la disposition de l’ensemble du personnel concerné sous une forme facilement accessible. 75. L’organigramme retient pour les différents services ou départements leur structure et les liens hiérarchiques et fonctionnels entre eux et avec l’organe de surveillance et l’organe de gestion. 76. La description des tâches à remplir par le personnel exécutant explique la fonction, les pouvoirs et la responsabilité de chaque exécutant. 77. L’organigramme et la description des tâches sont établis sur la base du principe de la séparation des tâches. En vertu de ce principe, les tâches et responsabilités doivent être attribuées de façon à éviter qu’elles soient incompatibles dans le chef d’une même personne. Le but poursuivi est de prévenir au moyen d’un environnement de contrôles réciproques qu’une personne puisse commettre des erreurs et irrégularités qui ne seraient pas découvertes. 78. Lorsque, en raison de la taille réduite de l’établissement, il est indispensable de regrouper plusieurs tâches et responsabilités sous une même personne, ce regroupement doit être organisé de sorte à ne pas porter préjudice à l’objectif poursuivi par la séparation des tâches. 79. L’établissement dispose d’un programme de formation professionnelle continue qui assure que les membres du personnel, de l’organe de gestion et de l’organe de surveillance restent compétents et comprennent le dispositif de gouvernance interne ainsi que leurs propres rôles et responsabilités à cet égard. CIRCULAIRE CSSF 26/906 25/55 80. Il est recommandé aux établissements d’établir une règle selon laquelle chaque membre du personnel prenne annuellement au moins deux semaines calendaires consécutives de congés personnels. Il doit être assuré que chaque membre du personnel soit effectivement absent pendant ce congé et que son remplaçant prenne effectivement en charge le travail de la personne absente. Sous-chapitre 5.2. Les procédures et la documentation interne 81. Les établissements documentent par écrit l’ensemble du dispositif en matière d’administration centrale, de gouvernance interne y inclus de contrôle interne. Cette documentation porte sur les stratégies, les principes directeurs, les politiques et les procédures relatifs à l’administration centrale, à la gouvernance interne et à la gestion des risques. Elle comprend un manuel des procédures clair, complet, détaillé et accessible dont les procédures sont connues de l’ensemble du personnel concerné et qui est tenu à jour en continu. 82. La description des procédures pour assurer l’exécution correcte des activités porte sur les points suivants : • les étapes successives et logiques du traitement des opérations, de leur initiation à l’archivage de leur documentation (« workflow »), incluant les seuils applicables, les flux de documents, le cas échéant, ainsi que la désignation des fonctions en charge de la réalisation de chacune des étapes ; et • les contrôles à réaliser, ainsi que les moyens pour s’assurer que ceux-ci ont été correctement réalisés et dans le respect des procédures applicables, incluant les seuils applicables, ainsi que la désignation des fonctions en charge des validations et contrôles de chacune des étapes. 83. Les établissements documentent par écrit l’ensemble de leurs opérations, c’est-à-dire tout processus qui crée un engagement dans le chef de l’établissement ainsi que les décisions y relatives. La documentation doit être tenue à jour et conservée par l’établissement conformément aux dispositions légales applicables. Elle doit être organisée de telle manière qu’elle puisse être aisément consultée par un tiers autorisé. 84. Comme le but est de garantir que les opérations sont exécutées de manière correcte, les procédures doivent être claires et complètes dans leur contenu et être connues par tous les membres du personnel concernés. Par ailleurs, les procédures doivent être mises à jour sans délai lors d’un changement interne ou externe ayant une incidence sur leur contenu. 85. Les dossiers, documents de travail et rapports de contrôle des fonctions de contrôle interne, des experts externes et des prestataires de services visés au sous-chapitre 6.2 relatif aux fonctions de contrôle interne ainsi que les rapports de révision établis par le réviseur d’entreprises agréé sont conservés pendant au moins cinq ans, sans préjudice d’autres législations applicables, dans l’établissement luxembourgeois afin de permettre à l’établissement de retracer les contrôles effectués, les problèmes, déficiences ou irrégularités relevés ainsi que les recommandations et conclusions. La CSSF et toute autorité compétente ainsi que le réviseur d’entreprises agréé doivent toujours pouvoir accéder à ces pièces. CIRCULAIRE CSSF 26/906 26/55 86. Toutes les opérations initiées par l’établissement et les contacts avec les utilisateurs des services de paiement ou leurs mandataires émanent de l’établissement au Luxembourg. Toute la correspondance y est adressée et est expédiée à partir de l'établissement. Au cas où l'établissement dispose d'une succursale à l'étranger, cette dernière constitue le point de contact pour sa propre clientèle. Sous-chapitre 5.3. L’infrastructure administrative et technique 87. L'établissement se dote des fonctions de support et de contrôle, des moyens matériels et techniques nécessaires, suffisants et appropriés à l'exécution de ses activités et de la gestion des risques qui en découlent. Les moyens matériels et en particulier techniques doivent être adaptés à la nature, à l’échelle et à la complexité des activités de l’établissement ce qui inclut de permettre à l’établissement de minimiser les potentielles erreurs découlant de l’exécution de tâches manuelles. Section 5.3.1. La fonction financière et comptable 88. L'établissement dispose d'une fonction financière et comptable dont la mission est d'assumer la gestion financière et comptable de l'établissement. Sans préjudice des exigences définies dans la circulaire CSSF 22/806 en matière d’externalisation de certaines tâches opérationnelles de la fonction financière et comptable, cette fonction financière et comptable doit veiller à ce que l'intervention d'autres services se fasse dans le strict respect du plan comptable et des instructions y relatives et sous le contrôle de la fonction comptable et financière. 89. La fonction financière et comptable fonctionnera suivant des règles et procédures écrites régulièrement revues et réévaluées et qui permettent : • d'identifier et d'enregistrer toutes les transactions et opérations de paiement et de monnaie électronique entreprises par l'établissement ; • d'expliquer l'évolution des soldes comptables d'un arrêté à l'autre par la conservation des mouvements ayant affecté les postes comptables ; • d'établir les comptes par application des règles de comptabilisation et d'évaluation définies par la législation comptable et la réglementation y afférente ; • de produire et de communiquer des informations périodiques et sur demande ponctuelle à la CSSF ou à tout autre autorité compétente ; • de conserver toutes les pièces comptables suivant les dispositions légales en vigueur ; • de s’assurer de la fiabilité et de la pertinence des prix et justes valeurs (« fair values ») utilisés dans l’établissement des comptes et du reporting à la CSSF ; CIRCULAIRE CSSF 26/906 27/55 • de produire et de communiquer sans délai des informations périodiques et ponctuelles à la CSSF, comprenant en premier lieu le reporting légal et réglementaire, et d’en assurer la fiabilité, notamment en matière de solvabilité et de protection des fonds des utilisateurs de service de paiement ; dans ce contexte, les établissements sont tenus de disposer à la fin de chaque jour, sans condition et ou restriction d’accès de quelque nature que ce soit, des balances de tous les comptes et de tous les mouvements comptables de la journée afin de fournir sans délai à toute autorité compétente les informations requises ; • d'établir, le cas échéant, des comptes suivant le schéma comptable en vigueur dans le pays d'origine de l'actionnaire en vue de l'établissement des comptes consolidés ; • de réaliser les réconciliations des comptes et des écritures comptables ; • de produire une information financière fiable et rapidement disponible à l’organe de gestion (« management information ») et à l’organe de surveillance afin de leur permettre de suivre de près l'évolution de la situation financière y inclus la solvabilité de l'établissement et sa conformité aux données budgétaires. Cette information servira comme instrument de contrôle de gestion et sera d'autant plus efficace si elle est basée sur une comptabilité analytique ; • de s’assurer de la fiabilité du reporting financier. 90. Sans préjudice des contrôles déployés au niveau de la fonction financière et comptable ou d’externalisation de certaines tâches de la fonction financière et comptable, les informations à communiquer périodiquement et ponctuellement sur demande de la CSSF et de toute autorité compétente doivent être systématiquement et formellement revues et validées par un membre de l’organe de gestion. 91. En application du principe de proportionnalité, la CSSF pourra recommander à certains établissements de se doter d'un responsable dédié à la fonction financière et comptable et au contrôle de gestion. Ce responsable rapporte directement à l’organe de gestion. Ce responsable dédié à la fonction financière et comptable et au contrôle de gestion doit posséder des connaissances et compétences appropriées et une expérience professionnelles élevées dans le domaine comptable et financier y inclus en ce qui concerne les normes comptables applicables. Il est recommandé que cette personne soit sélectionnée, nommée et révoquée suivant une procédure interne écrite, avec approbation au préalable par l'organe de surveillance. 92. Les tâches exercées au sein de la fonction financière et comptable ne peuvent pas être cumulées avec d'autres tâches incompatibles, tant commerciales qu'administratives. 93. Dans le cadre de l'ouverture de comptes de contreparties/comptes de tiers, chaque établissement définit des règles précises d'enregistrement des comptes dans sa comptabilité. Il précise par ailleurs les conditions auxquelles l'autorisation est donnée afin que ces comptes fonctionnent et auxquelles ils peuvent être clôturés. 94. L'établissement doit éviter d'avoir dans la comptabilité une multitude de comptes avec des contenus incontrôlables, qui se prêteraient à exécuter des opérations non autorisées voire frauduleuses ; une attention particulière devra être accordée aux comptes dormants. À cet effet, l'établissement mettra en place des procédures de vérification et de suivi appropriées. CIRCULAIRE CSSF 26/906 28/55 95. L'ouverture et la clôture des comptes internes dans la comptabilité doivent être validées par la fonction financière et comptable. En cas d’ouverture des comptes, cette validation doit intervenir avant que ces comptes ne commencent à devenir opérationnels. L'établissement fixe des règles concernant l'utilisation de tels comptes et les pouvoirs pour leur ouverture. La fonction financière et comptable veille à ce que les comptes internes soient soumis périodiquement à une procédure de justification de leur nécessité. Il y a lieu de veiller à ne pas tenir ouverts des comptes internes et des comptes de passage qui ne répondraient plus à une utilisation définie par les règles fixées. 96. Les écritures ayant un effet rétroactif ne peuvent servir qu’à des fins de régularisation. Les écritures ayant un effet rétroactif ainsi que les écritures en matière d’extournes sont à autoriser et surveiller à la fois au sein des services qui sont à l’origine de ces écritures et par la fonction financière et comptable. 97. L'ensemble de l'organisation et des procédures comptables est décrit dans un manuel ou livre des procédures comptables. Dans la définition et la mise en œuvre de ces procédures, les établissements veillent au respect du principe d’intégrité afin d’éviter en particulier que le système comptable ne puisse être utilisé à des fins frauduleuses. Section 5.3.2. La fonction informatique 98. Les établissements organisent leur fonction informatique de manière à en avoir le contrôle et à en assurer la robustesse, l’efficacité, la cohérence et l’intégrité. Pour ce faire, ils respectent les exigences du règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier et des circulaires CSSF relatives aux exigences en matière de gestion des risques liés aux TIC et à la sécurité. Ils maintiennent également à jour les informations et documents tels que demandés dans la circulaire CSSF 18/677 relative aux Orientations de l’Autorité bancaire européenne sur les informations à fournir dans le cadre de l’agrément d’établissements de paiement et d’établissements de monnaie électronique et pour l’enregistrement de prestataires de services d’information sur les comptes au titre de l’article 5, paragraphe 5, de la directive (UE) 2015/2366 (EBA/GL/2017/09). 99. Les établissements qui, en matière de fonction informatique, recourent aux services de prestataires de services doivent se référer à la circulaire CSSF 22/806 concernant l’externalisation. Section 5.3.3. Le dispositif de communication et d’alerte interne et externe 100. Le dispositif de communication interne assure que les stratégies, politiques et procédures de l’établissement ainsi que les décisions et mesures prises par l’organe de gestion, directement ou par voie de délégation, sont communiquées de manière claire et exhaustive à tous les membres du personnel de l’établissement en tenant compte de leurs besoins d'information et de leurs responsabilités au sein de l'établissement. Le dispositif de communication interne permet au personnel un accès aisé et permanent à ces informations. CIRCULAIRE CSSF 26/906 29/55 101. Le système d’information de gestion assure que toute l’information de gestion, en temps normal et en situation de crise, est communiquée de manière claire, exhaustive et sans délai à tous les membres de l’organe de gestion, à l’organe de surveillance et au personnel de l’établissement en tenant compte de leurs besoins d'information, de leurs responsabilités au sein de l'établissement et de l’objectif d’assurer une gestion saine et prudente des activités. 102. La loi du 16 mai 2023 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l’Union a pour objet de protéger l’auteur d’un signalement de violations contre les représailles de la part d’un employeur ou d’une autre personne physique ou morale exerçant un certain pouvoir de contrainte en rapport avec l’activité du « lanceur d’alerte ». Cette obligation s’applique à toutes les entités juridiques de droit privé. La CSSF met également à disposition sur son site Internet un outil et une procédure permettant la déclaration de tels signalements directement à la CSSF (procédure de signalement externe) (https://whistleblowing.apps.cssf.lu/ index.html?language=fr). Le dispositif légal applicable est complété par l’article 8-3 de la loi du 12 novembre 2004 relative à la lutte contre le blanchiment et le financement du terrorisme, tel qu’introduit par la loi du 25 mars 2020, prévoyant un cadre spécifique de signalement en matière de LBC/FT et par l’article 58-10 de la loi du 10 novembre 2009 relative aux services de paiement, tel que modifié, qui permet à la CSSF de mettre en place des mécanismes efficaces favorisant la déclaration des violations du Règlement (UE) 2015/847. Chapitre 6. Le contrôle interne 103. Le contrôle interne est un dispositif composé de règles et de procédures qui ont pour but de s’assurer que les objectifs posés par l’établissement sont atteints, que les ressources sont utilisées de façon efficiente, que les risques sont contrôlés, que le patrimoine est protégé, que les fonds des utilisateurs de services de paiement sont protégés, que l’information financière et l’information de gestion sont correctes, complètes, pertinentes, compréhensibles et disponibles sans délai, que les lois et réglementations ainsi que les procédures internes sont respectées et que les demandes et exigences de la CSSF sont respectées. Les mécanismes de contrôle interne prévoient ainsi des mécanismes destinés à prévenir les erreurs d’exécution et les fraudes et à permettre leur détection rapide. Les mécanismes de contrôle interne doivent également être appliqués par les succursales que les établissements ont à l’étranger sans préjudice de dispositions légales ou règlementaires locales qui existent en la matière. Le dispositif de contrôle interne doit comprendre des processus et procédures efficaces prévenant la fraude et assurant tant le respect des obligations en matière de lutte contre le blanchiment et le financement du terrorisme que le respect des obligations visant à prévenir, rechercher, détecter et le cas échéant rapporter des fraudes en matière de paiements. Les établissements doivent évaluer leur exposition au risque d’être abusés notamment à des fins de blanchiment ou de financement du terrorisme, adapter leur dispositif de contrôle au niveau du risque identifié (approche basée sur le risque) et prendre des mesures efficaces d’atténuation visant à réduire ce risque, ainsi que les risques opérationnels et de réputation associés. Le dispositif garantit l’information et la formation adéquate du personnel par rapport à ces risques. CIRCULAIRE CSSF 26/906 30/55 104. Le dispositif de contrôle interne d’un établissement doit être adapté à son organisation, à l’échelle et à la complexité de ses activités et des risques associés et respecter les principes du modèle des « trois lignes de défense » : • la première ligne de défense est constituée par les unités opérationnelles qui prennent ou acquièrent des risques, qui assument la responsabilité pour leur gestion et qui contrôlent de manière permanente le respect des politiques, procédures et limites qui leur sont imposées ; • la seconde ligne est formée par des fonctions de support, comme la fonction financière et comptable, mais surtout la fonction compliance et la fonction de contrôle des risques (dans la mesure où celle-ci est prévue en vertu du paragraphe 163 de la présente circulaire), qui assurent un contrôle indépendant des risques et supportent les unités opérationnelles dans le respect des politiques et procédures qui leur sont applicables ; • la troisième ligne est constituée par la fonction d’audit interne qui effectue une évaluation indépendante, objective et critique des deux premières lignes de défense et du dispositif de gouvernance interne dans son ensemble. Les trois lignes de défense sont complémentaires, chaque ligne de défense assumant ses responsabilités de contrôle indépendamment des autres lignes. 105. La mise en place d’un dispositif de contrôle interne solide va de pair avec une séparation pertinente des fonctions, tâches et responsabilités, la mise en place d’une gestion des accès à l’information et la séparation physique de certaines fonctions et de certains départements afin de sécuriser les données et les transactions. 106. Les contrôles réalisés (c.-à-d. contrôles opérationnels, contrôle des risques, etc.) doivent être suffisamment et précisément documentés afin de permettre de démontrer leur exécution et leur efficacité. Sous-chapitre 6.1. Les contrôles opérationnels Un environnement de contrôle interne robuste et solide comporte notamment les types de contrôles suivants qui relèvent de la première ligne de défense : Section 6.1.1. Les contrôles quotidiens réalisés par le personnel exécutant 107. Les procédures en matière de contrôle interne prévoient que les exécutants contrôlent sur une base quotidienne les tâches opérationnelles et/ou processus qu’ils exécutent dans le cadre des activités de l’établissement ou des services prestés par l’établissement, ceci afin de détecter le plus rapidement possible des erreurs et omissions survenues dans le traitement de ces tâches opérationnelles et processus courants. Lorsque ces tâches opérationnelles sont externalisées, l’établissement doit s’assurer qu’elles sont exécutées correctement et en conformité avec la circulaire CSSF 22/806 relative à l’externalisation. CIRCULAIRE CSSF 26/906 31/55 Section 6.1.2. Les contrôles critiques continus 108. Dans cette catégorie de contrôles tombent notamment : • le contrôle hiérarchique ; • la validation (par exemple la double signature, les codes d’accès à des fonctionnalités données) associée au contrôle du respect de la procédure d’autorisation et de délégation de pouvoirs arrêtée par l’organe de gestion ; • les contrôles réciproques ; • le relevé régulier de l’existence et de la valeur des éléments du patrimoine et des fonds des utilisateurs de services de paiement, notamment au moyen de la vérification des inventaires ; • la réconciliation et la confirmation des comptes ; • le contrôle de l’exactitude et de l’exhaustivité des données communiquées par les personnes en charge des fonctions commerciales et opérationnelles en vue d’un suivi administratif des opérations ; • la vérification du caractère normal des opérations conclues notamment quant à leur prix, à leur ampleur, aux garanties éventuelles à recevoir ou à fournir, aux bénéfices générés et aux pertes subies, à l’ampleur des frais éventuels. Le bon fonctionnement de ces contrôles critiques n’est garanti que si le principe de la séparation des tâches est respecté. Section 6.1.3. Les contrôles réalisés par les membres de l’organe de gestion sur les activités ou fonctions qui tombent sous leur responsabilité directe 109. Les membres de l’organe de gestion contrôlent personnellement et de manière régulière les activités ou fonctions qui tombent sous leur responsabilité directe. Ces contrôles sont effectués sur la base des données qui leur sont remises à cet effet par les fonctions commerciales, de support et de contrôle interne et les différentes unités opérationnelles, informatiques et administratives de l’établissement. 110. Les points à surveiller plus particulièrement par ces personnes sont notamment : • les risques liés aux activités et fonctions dont ils sont directement responsables ; • le respect des lois et normes applicables à l’établissement, avec une attention particulière pour les exigences à respecter en termes de protection des fonds reçus des utilisateurs des services de paiement ; • le respect des politiques et procédures arrêtées par l’organe de gestion et l’organe de surveillance ; • le respect des budgets établis et l’examen des réalisations effectives et des écarts ; • le respect des limites (notamment sur la base de rapports d’exception) ; • les caractéristiques des opérations, notamment leur prix, leur rentabilité individuelle ; CIRCULAIRE CSSF 26/906 32/55 • l’évolution de la rentabilité globale d’une activité. 111. Les membres de l’organe de gestion informent régulièrement les autres membres de l’organe de gestion sur l’exercice de leur mission de contrôle lors des réunions de l’organe de gestion. 112. Le dispositif de contrôle interne prévoit une documentation appropriée par écrit des différents niveaux de contrôle tels que décrits ci-avant permettant de rendre compte de la mise en œuvre effective des politiques et procédures internes. Cette documentation inclut tant les contrôles manuels et hiérarchiques opérés par les différents niveaux de contrôle que les contrôles automatisés et/ou intégrés dans les systèmes de paiement ou autres outils utilisés par l’établissement. Sous-chapitre 6. Les fonctions de contrôle interne 113. Les politiques mises en œuvre en matière de conformité et d’audit interne instaurent deux fonctions de contrôle interne distinctes : d’une part, la fonction compliance qui relève de la deuxième ligne de défense et d’autre part, la fonction d’audit interne qui relève de la troisième ligne de défense. Lorsque l’établissement se dote d’une fonction indépendante et permanente de contrôle des risques, elle relève également de la seconde ligne de défense. Les politiques de l’établissement décrivent par ailleurs les domaines d’intervention relevant directement de chaque fonction de contrôle interne, règlent clairement les responsabilités en matière de domaines d’intervention communs afin d’éviter les redondances et conflits de compétences, et définissent les objectifs ainsi que l'indépendance, l’autorité, l’objectivité et la permanence des fonctions de contrôle interne. Les sections 6.2.1., 6.2.2., 6.2.3. et 6.2.4. de la présente circulaire et relatives aux responsabilités génériques, aux caractéristiques, à l’exécution des travaux et à l’organisation des fonctions de contrôle interne s’appliquent à la fonction de compliance et à la fonction d’audit interne. Lorsque l’établissement se dote ou est tenu de se doter d’une fonction indépendante et permanente de contrôle des risques conformément au principe de proportionnalité établi aux paragraphes 3 et 162 de la présente circulaire, les sections 6.2.1., 6.2.2., 6.2.3. et 6.2.4. de la présente s’appliquent à cette fonction. CIRCULAIRE CSSF 26/906 33/55 Section 6.2.1. Responsabilités génériques des fonctions de contrôle interne 114. Les fonctions de contrôle interne ont pour objectif principal de vérifier le respect de l’ensemble des politiques et des procédures internes qui tombent dans leur champ d’attribution, d’en évaluer régulièrement l’adéquation par rapport à la structure organisationnelle et opérationnelle, aux stratégies, aux activités et aux risques de l’établissement ainsi que par rapport aux exigences légales et réglementaires applicables et d’en rendre compte directement à l’organe de gestion ainsi qu’à l’organe de surveillance et, le cas échéant, aux comités spécialisés. Elles fournissent à l’organe de gestion ainsi qu’à l’organe de surveillance et, le cas échéant, aux comités spécialisés les avis et conseils qu’elles jugent utiles ou qui leur sont demandés par ces organes ou comités. Nonobstant les responsabilités spécifiques en la matière attribuées à la fonction compliance, toutes les fonctions de contrôle interne contribuent à la lutte efficace contre le blanchiment et le financement du terrorisme. 115. Lorsqu’ils estiment que la gestion efficace, saine ou prudente des activités est compromise, les responsables des fonctions de contrôle interne en informent promptement et de leur propre initiative l’organe de gestion et l’organe de surveillance et les comités spécialisés, le cas échéant. Section 6.2.2. Caractéristiques des fonctions de contrôle interne 116. Les fonctions de contrôle interne sont des fonctions permanentes et indépendantes dotées chacune d’une autorité suffisante. Les responsables de ces fonctions ont le droit d’accès direct à l’organe de surveillance ou à son président, et, le cas échéant, aux comités spécialisés qui en émanent, au réviseur d’entreprises agréé de l’établissement ainsi qu’à la CSSF. 117. L’indépendance des fonctions de contrôle interne est incompatible avec une situation dans laquelle : • le personnel des fonctions de contrôle interne est chargé de tâches qu’il est appelé à contrôler ; • la rémunération du personnel des fonctions de contrôle interne est liée à la performance des activités qu’elles contrôlent ou déterminée suivant d’autres critères qui compromettent l’objectivité du travail accompli par les fonctions de contrôle interne ; • les fonctions de contrôle interne sont intégrées d’un point de vue organisationnel dans les unités opérationnelles qu’elles contrôlent ou dépendent hiérarchiquement d’elles ; • les responsables des fonctions de contrôle interne sont subordonnés aux personnes en charge de, ou responsables pour, les activités que les fonctions de contrôle internes sont appelées à contrôler. Dans le cadre d’un établissement ne possédant que deux dirigeants, l’application du principe de proportionnalité imposera la séparation de la supervision des fonctions de contrôle interne de seconde et troisième ligne. CIRCULAIRE CSSF 26/906 34/55 118. L’autorité dont doivent jouir les fonctions de contrôle interne requiert que ces fonctions puissent exercer leurs responsabilités de leur propre initiative, s’exprimer librement et accéder à toutes les données et informations externes et internes (dans l’ensemble des unités opérationnelles de l’établissement qu’elles contrôlent) qu’elles jugent nécessaires pour l'accomplissement de leurs missions. 119. Les fonctions de contrôle interne ou les prestataires de services agissant pour le compte de ces fonctions doivent effectuer leurs travaux avec objectivité. Afin de garantir leur objectivité, les personnes relevant des fonctions de contrôle interne possèdent l’indépendance d’esprit ; elles ne doivent pas subordonner leur propre jugement à celui d’autres personnes, dont surtout les personnes contrôlées, et veillent à éviter les conflits d’intérêts. 120. Les principes directeurs régissant la nomination et la succession des responsables de fonctions de contrôle interne prévoient les mesures nécessaires pour que ces membres soient et restent qualifiés. Ces mesures doivent inclure une initiation spécifique pour comprendre la structure, le modèle d’affaires, le profil de risque et les dispositifs de gouvernance et ensuite des programmes de formation professionnelle qui permettent aux responsables des fonctions de contrôle interne de comprendre d’une part, les opérations de l’établissement, leur rôle et d’autre part, de maintenir à jour et d’approfondir leurs compétences. Les mesures doivent également assurer à tout moment la permanence des responsables des fonctions de compliance et d’audit interne et le cas échéant de contrôle des risques. Ces mesures doivent également assurer une capacité de réaction appropriée en cas de crise. 121. Les membres des fonctions de contrôle interne doivent posséder un niveau individuel et collectif élevé de connaissances, de compétences et une expérience professionnelle dans le domaine des activités de paiement et/ou de monnaie électronique ou similaires et plus particulièrement dans leur domaine de responsabilités en ce qui concerne les normes applicables. Conformément au principe de proportionnalité, le niveau de compétences requis augmente en fonction de l’organisation de l’établissement et de la nature, de l’échelle et de la complexité des activités et des risques. La compétence individuelle doit comporter la capacité de porter des jugements critiques et d’être écouté par les membres de l’organe de gestion de l’établissement. 122. Les fonctions de contrôle interne maintiennent à jour les connaissances acquises et assurent une formation continue et actualisée à chacun de leurs collaborateurs. 123. En sus de leur expérience professionnelle élevée, les responsables de fonctions de contrôle interne qui accèdent pour la première fois à une telle position possèdent les connaissances théoriques nécessaires. 124. Pour garantir l'exécution des tâches qui leur incombent, les fonctions de contrôle interne disposent des ressources humaines, de l’infrastructure et des budgets nécessaires et suffisants, conformément au principe de proportionnalité. Le budget doit être suffisamment flexible pour tenir compte d’une adaptation des missions des fonctions de contrôle interne en réponse à des changements au niveau de l’organisation, des activités et des risques de l’établissement ou en cas de survenance d’événements spécifiques. Les établissements qui, en matière de fonctions de contrôle interne, recourent aux services de prestataires de services doivent se référer à la circulaire CSSF 22/806 concernant l’externalisation. CIRCULAIRE CSSF 26/906 35/55 125. Le champ d’intervention des fonctions de contrôle interne couvre l’ensemble de l’établissement, y inclus les succursales, dans le respect de leurs compétences respectives. Il inclut les activités menées à travers des réseaux d’agents, de distributeurs ou de bureaux de représentation ainsi que les activités inhabituelles et potentiellement non transparentes. 126. Chaque établissement prend les mesures nécessaires pour assurer que les membres des fonctions de contrôle interne exercent leurs fonctions avec intégrité et discrétion. Section 6.2.3. Exécution des travaux des fonctions de contrôle interne 127. Les fonctions de contrôle interne documentent les travaux effectués conformément aux responsabilités assignées, notamment afin de permettre de retracer les interventions ainsi que les conclusions retenues. 128. Les fonctions de contrôle interne rapportent par écrit régulièrement et si nécessaire sur base ad hoc à l’organe de gestion et à l’organe de surveillance ou, le cas échéant, aux comités spécialisés. Ces rapports portent sur le suivi des recommandations, problèmes, déficiences et irrégularités relevés par le passé ainsi que sur les nouveaux problèmes, déficiences et irrégularités identifiés. Chaque rapport spécifie les risques y liés ainsi que leur degré de gravité (mesure de l’impact) et propose des mesures correctrices, de même qu’en règle générale une prise de position des personnes concernées. 129. Chaque fonction de contrôle interne prépare au moins une fois par an un rapport de synthèse sur ses activités et son fonctionnement couvrant l’ensemble des activités qui lui sont attribuées. Au titre des activités, chaque rapport de synthèse fournit le relevé des activités de la fonction depuis le dernier rapport, des principales recommandations adressées à l’organe de gestion, des problèmes (existants ou émergents), déficiences et irrégularités majeurs survenus depuis le dernier rapport, des mesures prises pour y remédier ainsi qu’une description des contrôles réalisés, des insuffisances et anomalies constatées, mais également des recommandations et des propositions sur les mesures correctrices à prendre, de même qu’une prise de position des personnes contrôlées assortie d’un délai approprié pour la mise en place d’actions correctrices, le cas échéant. Une indication de l’importance relative des anomalies et déficiences en fonction de leur niveau de risque et de priorité est fourni. 130. Le rapport de synthèse des fonctions de contrôle interne fournit un état des lieux portant sur l’accomplissement du plan de contrôle tel qu’il avait été défini pour l’année. Il inclut également, le cas échéant, la justification des retards ou reports de mission. 131. Le rapport de synthèse des fonctions de contrôle interne dresse un inventaire des contrôles clés effectués par thématique couverte, et inclut une description de ces contrôles (recours à un test de cheminement, échantillonnage, revue des procédures etc.). 132. Le rapport de synthèse des fonctions de contrôle interne doit à la fois faire état des exceptions identifiées pour lesquelles des actions de remédiation n’ont pas encore été mises en œuvre, mais aussi de celles qui ont d’ores et déjà été considérées comme clôturées au cours de l’année. 133. Le rapport de synthèse des fonctions de contrôle interne comprend une section dédiée au suivi des exceptions identifiées au cours des années précédentes mais non encore clôturées à la date de remise du précédent rapport, incluant une mise à jour quant à la façon dont les exceptions ont été clôturées, ainsi qu’une prise de position de l’organe de gestion ainsi que de nouveaux délais, le cas échéant. CIRCULAIRE CSSF 26/906 36/55 134. Enfin, le rapport de synthèse des fonctions de contrôle interne se prononce sur l’état de leur domaine de contrôle dans son ensemble. S’agissant du fonctionnement, le rapport se prononce en particulier sur l’adéquation des ressources humaines et techniques internes et la nature et le degré du recours à des ressources humaines et techniques externes ainsi que sur les problèmes éventuels apparus dans ce contexte. Ce rapport est soumis pour approbation à l’organe de surveillance ou, le cas échéant, aux comités spécialisés compétents pour en assurer le suivi avec l’organe de surveillance ; il est soumis pour information à l’organe de gestion. Ce rapport est à rédiger en français, allemand ou anglais. 135. En cas de problèmes, déficiences et irrégularités graves, les responsables des fonctions de contrôle interne en informent immédiatement l’organe de gestion, le président de l’organe de surveillance et les présidents des comités spécialisés, le cas échéant. Dans ces cas, les responsables des fonctions de contrôle interne peuvent demander à être entendus par l’organe de surveillance en séance privée. 136. Les fonctions de contrôle interne vérifient le suivi effectif des recommandations relatives aux problèmes, déficiences et irrégularités qu’elles ont relevées, conformément à la procédure visée au paragraphe 46 de la présente circulaire. Elles rapportent de manière régulière à ce sujet à l’organe de gestion. Pour tout retard dans la mise en œuvre des mesures correctrices, l’organe de gestion en informe l’organe de surveillance qui doit autoriser les prolongations des délais de mise en œuvre des mesures correctrices. Section 6.2.4. Organisation des fonctions de contrôle interne 137. Chaque fonction de contrôle interne est placée sous la responsabilité d’un chef de fonction distinct qui est sélectionné, nommé et révoqué par l’organe de gestion suivant une procédure interne écrite. Il est recommandé de faire approuver les nominations et révocations des responsables des fonctions de contrôle interne au préalable par l’organe de surveillance. 138. Les établissements informent au préalable par écrit et sans délai la CSSF de toute modification du « Chief Internal Auditor » et du « Chief Compliance Officer » et fournissent pour chaque nomination, les informations et documents requis tels que publiés sur le site Internet de la CSSF et pour les départs, les motifs explicatifs. Lorsque l’établissement se dote d’une fonction indépendante et permanente de contrôle des risques, l’établissement communique par écrit à la CSSF le nom du responsable de cette fonction et informe sans délai la CSSF de tout changement concernant le responsable de cette fonction. 139. Les responsables des fonctions de contrôle interne sont responsables vis-à-vis de l’organe de gestion et, en dernier ressort, vis-à-vis de l’organe de surveillance pour l’exécution de leur fonction. À ce titre, ces responsables doivent pouvoir contacter directement et de leur propre initiative l’organe de surveillance ou son président, et le cas échéant, le comité spécialisé compétent. 140. Les responsables des fonctions de contrôle interne sont désignés par « Chief Compliance Officer » pour la fonction compliance et « Chief Internal Auditor » pour la fonction d’audit interne. Au cas où une fonction de contrôle des risques indépendante est établie, le responsable de cette fonction est désigné par « Chief Risk Officer ». 141. Une éventuelle externalisation de tâches opérationnelles d’une fonction de contrôle interne n’est admise qu’en conformité avec la circulaire CSSF 22/806 applicable en matière d’externalisation. CIRCULAIRE CSSF 26/906 37/55 142. Tout recours à des prestataires de services, doit se faire en conformité avec les exigences de la circulaire CSSF 22/806 concernant l’externalisation. Ces prestataires réalisent leurs travaux dans le respect des dispositions réglementaires et internes qui sont applicables à la fonction de contrôle interne et au domaine de contrôle en question. Elles doivent être placées sous la dépendance du responsable de la fonction de contrôle interne. Ce responsable supervise les travaux de ces prestataires externes. 143. Les fonctions de contrôle interne du siège de l’établissement procèdent régulièrement à des contrôles sur place auprès des succursales. Lorsque l’établissement a une succursale d’une certaine taille conformément au principe de proportionnalité, les fonctions de contrôle interne d'un établissement doivent également être mises en place au niveau de cette succursale. 144. Les fonctions de contrôle interne des succursales dépendent, d'un point de vue hiérarchique et fonctionnel, des fonctions de contrôle des entités juridiques dont elles font partie et auxquelles elles rapportent. Les responsables des fonctions de contrôle de l’établissement donnent leur accord pour tout recrutement, licenciement des chefs des fonctions de contrôle des succursales. Les rapports établis conformément aux dispositions de la présente circulaire sont soumis non seulement au responsable local de la succursale, mais également aux fonctions de contrôle interne de l’établissement. Section 6.2.5. La fonction compliance Sous-section 6.2.5.1. La charte de compliance 145. Les modalités de fonctionnement de la fonction compliance en termes d’objectifs, de responsabilités et de pouvoirs sont arrêtées par une charte de compliance élaborée par la fonction compliance et approuvée par l’organe de gestion et par l’organe de surveillance en dernier ressort. 146. La charte doit au minimum : • définir la position de la fonction compliance dans l’organigramme de l’établissement tout en précisant ses caractéristiques clés (indépendance, objectivité, intégrité, compétences, autorité et suffisance des ressources) ; • reconnaître à la fonction compliance le droit d'initiative pour ouvrir des enquêtes portant sur toutes les activités de l’établissement y compris celles de ses succursales, bureaux de représentation et agents ou distributeurs au Luxembourg et à l’étranger et à accéder à tous les documents, pièces et procès-verbaux des organes consultatifs et décisionnels de l’établissement, à voir toutes les personnes travaillant dans l’établissement, dans la mesure requise pour l’exercice de sa mission ; • définir les objectifs, responsabilités, compétences et lignes de reporting de la fonction de compliance ; • décrire les relations avec les fonctions d’audit interne et le cas échéant de contrôle des risques ainsi que d'éventuels besoins de délégation au sein de l’établissement et/ou de coordination ; CIRCULAIRE CSSF 26/906 38/55 • définir les conditions et circonstances applicables lorsqu’il est fait recours à des experts externes ; • établir le droit pour le « Chief Compliance Officer » de contacter directement et de sa propre initiative le président de l’organe de surveillance ou, le cas échéant, les membres des comités spécialisés, ainsi que la CSSF. Le contenu de la charte de compliance est porté à la connaissance de tous les membres du personnel de l’établissement, y compris ceux qui travaillent dans les succursales au Luxembourg et à l’étranger. 147. La charte de compliance doit être évolutive et mise à jour dans les meilleurs délais pour tenir compte des changements au niveau des normes en vigueur affectant l’établissement. Toutes les modifications doivent être approuvées par l’organe de gestion et par l’organe de surveillance. Sous-section 6.2.5.2. Champ d’application et responsabilités spécifiques de la fonction compliance 148. La fonction compliance a pour objectif d’anticiper, de détecter, d'évaluer, de déclarer et de suivre les risques de non-conformité d’un établissement ainsi que d’assister les organes de gestion et de surveillance à doter l’établissement de mesures pour se conformer aux lois, règlements et standards applicables. Les risques de non-conformité peuvent comporter une variété de risques tels que le risque de réputation, le risque légal, le risque de contentieux, le risque de sanctions ainsi que d’autres aspects du risque opérationnel, ceci en relation avec l’intégralité des activités de l’établissement. Les tâches de la fonction compliance sont à réaliser continuellement et sans délai. 149. Pour atteindre les objectifs fixés, les responsabilités de la fonction compliance doivent couvrir au moins les aspects suivants : • la fonction compliance identifie, de manière continue, les normes auxquelles l’établissement est soumis dans l’exercice de ses activités dans les différents marchés et tient le relevé des règles essentielles. Ce relevé doit être accessible au personnel concerné de l'établissement. Par « normes », il faut entendre dans ce contexte toutes les règles auxquelles l'établissement est soumis dans l'exercice de ses activités dans ses différents marchés ; • la fonction compliance identifie les risque