Source: http://docplayer.fr/3815819-Assurance-le-controle-interne-des-etablissements-de-credit-et-des-entreprises-d-investissement.html
Timestamp: 2018-07-22 05:38:11+00:00
Document Index: 219042253

Matched Legal Cases: ['art. 1', 'art. 4', 'art. 4', 'art. 33', 'art.38', 'art. 9', 'art. 8', 'art. 5', 'art. 10', 'art. 10', 'art. 11', 'art. 2', 'art. 1', 'art. 9', 'art. 6', 'art. 7', 'art. 7', 'art. 12', 'art. 33', 'art. 34', 'art. 4', 'art. 4', 'art. 4', 'art. 4', 'art. 4', 'art. 4', 'art. 4', 'art. 4', 'art. 32', 'art. 20', 'art. 20', 'art. 19', 'art. 21', 'art. 18', 'art. 24', 'art. 25', 'art. 26', 'art. 4', 'art. 27', 'art. 13', 'art. 28', 'art. 30', 'art. 31', 'art. 31', 'art. 31', 'art. 30', 'art. 30', 'art. 30', 'art. 14', 'art. 40', 'art. 41', 'art. 42', 'art. 43']

Assurance. Le contrôle interne. des établissements de crédit et des entreprises d investissement - PDF
Download "Assurance. Le contrôle interne. des établissements de crédit et des entreprises d investissement"
1 Assurance Le contrôle interne des établissements de crédit et des entreprises d investissement
3 Sommaire Les enjeux du contrôle interne 5 Le rôle prépondérant de la Direction Générale et du Conseil d Administration 7 Les caractéristiques d ensemble du système à mettre en place 8 Les différentes natures de risques couvertes par le règlement 12 Les outils à systématiser ou à développer par nature de risque 13 Tableau récapitulatif des documents et rapports à produire 16
4 Les événements majeurs ayant impacté la sphère économique et financière au cours des dernières années, tels que les difficultés d évaluation des risques inhérents aux subprimes ou les problèmes de transparence mis en exergue par les affaires Kerviel et Madoff, ont démontré l utilité des procédures de contrôle au sein des établissements assujettis et les risques encourus en cas de défaillance. De fait, le contrôle interne est devenu l une des préoccupations majeures des autorités de tutelle bancaires, et des contreparties concernées : banques et entreprises d investissement, mais également investisseurs, agences de notations, États, etc. Ainsi, le règlement 97-02, qui définit les exigences en matière de contrôle interne applicables aux établissements de crédit et aux entreprises d investissement (ci-après les établissements assujettis), et ses modifications successives ont une opportunité pour les établissements assujettis de réexaminer l ensemble de leur dispositif de contrôle interne, pour s assurer non seulement qu il satisfait bien aux nouvelles exigences, mais également qu il répondra demain à leur besoin de développement et de positionnement concurrentiel.
5 Les enjeux du contrôle interne Renforcer la sécurité des activités bancaires Le secteur bancaire de par la nature particulière de ses activités (importance des innovations techniques et financières conduisant à la création de produits de plus en plus sophistiqués, concurrence accrue pesant sur la rentabilité des établissements, volume élevé des opérations, très forte internationalisation des échanges impliquant de manière croissante les pays émergents, influence majeure des hedge funds et autres intervenants sur des segments peu ou moins réglementés, etc.) a vu l ensemble de ses risques s accroître et s élargir au cours des dernières décennies. Pour les autorités de tutelle, la maîtrise de ces risques (risque de crédit, risque de marché, risque global de taux d intérêt, risque d intermédiation, risque de règlement, risque de liquidité, risque de non-conformité et risques opérationnels) passe par la mise en place d un système efficace et performant de contrôle interne. Ce système constitue un instrument de gestion indispensable au bon fonctionnement et à la sécurité tant des établissements de crédit que des entreprises d investissement et le complément nécessaire de normes prudentielles quantitatives. Sur le plan de la réglementation bancaire française, le contrôle interne est ainsi devenu un complément indispensable du contrôle prudentiel quantitatif, fondé notamment sur les limites de surveillance imposées par les ratios prudentiels. On notera que cette évolution n est pas particulière à la France mais qu elle reflète une tendance générale des systèmes de surveillance dans les pays du G20. Prendre exemple sur les meilleures pratiques internationales Les dispositions prévues par ce règlement s inspirent à la fois : Des meilleures pratiques relevées dans un certain nombre d établissements assujettis français ou étrangers ; Et des réflexions menées au sein des instances bancaires internationales (pour exemple, le Comité de Bâle). Le contrôle interne des établissements de crédit et des entreprises d investissement Octobre 2010 PricewaterhouseCoopers 5
6 Améliorer la compétitivité des banques françaises Selon les autorités de tutelle, l expérience montre que la qualité du contrôle interne est un facteur discriminant pour expliquer les performances individuelles des établissements assujettis, leur degré de résistance aux difficultés et leur rapidité de réaction et de mise en œuvre des mesures correctrices lorsqu une défaillance se produit (erreur stratégique, concentration excessive et mal maîtrisée des engagements ou des risques, etc.). Fixer un corps de règles de référence pour les autorités de contrôle Les dispositions retenues dans le règlement ne constituent, dans l esprit des autorités de tutelle, qu un corps de règles de base permettant de s assurer, lors d éventuels contrôles, que les établissements ont bien mis en place dans ce domaine une infrastructure minimum. Les établissements assujettis restent libres de développer toute procédure ou tout système prenant plus complètement en compte leurs spécificités afin de répondre au mieux à leurs propres besoins de gestion. Élargissement aux entreprises d investissement L application du règlement a été étendue aux entreprises d investissement autres que les sociétés de gestion de portefeuille et aux entreprises exerçant une activité de compensation (art. 1). Le régulateur a ainsi mis en place des règles minimales de mesure et de surveillance des risques inhérents à la fourniture de services d investissement. Ces règles s imposeront à l ensemble des prestataires de services d investissement, exerçant le même métier et cela quel que soit leur statut (entreprise d investissement ou établissement de crédit), aux compensateurs et aux compagnies financières. Octobre 2010 Le contrôle interne des établissements de crédit et des entreprises d investissement 6 PricewaterhouseCoopers
7 Le rôle prépondérant de la Direction Générale et du Conseil d Administration Le règlement insiste sur le rôle prépondérant que doivent jouer la Direction Générale et le Conseil d Administration dans la mise en place d un système de contrôle interne efficace et performant. Par ailleurs, si la création d un comité d audit n a pas été rendue obligatoire, ce dernier constitue clairement aux yeux des autorités de tutelle un moyen tout à fait approprié pour renforcer le contrôle que le Conseil d Administration se doit d exercer sur l ensemble des activités de l établissement. Le schéma ci-dessous, établi par nos soins, précise la répartition des responsabilités en matière de contrôle interne entre la Direction Générale et le Conseil d Administration telle que définies dans le règlement. (1) C'est-à-dire de "l'organe exécutif" au sens du règlement (art. 4). (2) C'est-à-dire de "l'organe délibérant" au sens du règlement (art. 4). (3) Ces limites peuvent également être fixées, le cas échéant, par l organe délibérant (art. 33). (4) Une seule fois par an s'il existe un comité d'audit (art.38). (5) À partir desquels sera élaboré le programme de missions de l'année (art. 9). (6) Concerne à la fois les risques de marché et le risque de taux d'intérêt global (voir pages 7 et 8). (7) Sur le contenu et les destinataires de ces rapports (voir pages 12 et 13). (8) Le responsable du contrôle interne est chargé de veiller à la cohérence et à l efficacité du contrôle interne. Il doit rendre compte de sa mission à la Direction Générale «organe exécutif (et au Comité d audit) qui elle-même en informe le Conseil d Administration organe délibérant» (art. 8). (9) Au minimum une fois par an. (10) L arrêté du 14 janvier 2009 prévoit la création d un comité d audit, chargé du suivi du processus d élaboration de l information financière et du suivi du contrôle légal des comptes annuels et comptes consolidés. À noter que les membres de ce comité ne peuvent être des membres de l organe exécutif. Responsabilités spécifiques de la Direction Générale (1) Surveillance des risques : Définition et/ou réexamen annuel des limites globales par nature de risques (3) Suivi trimestriel du respect de ces limites à partir d états de synthèse adaptés Appréciation des risques de l entreprise par rapport à ses fonds propres et à ses résultats en cas de fortes variations (stress scenarios) (6) Analyse a posteriori de la rentabilité des opérations (sur base au moins semestrielle) Information régulière du Conseil d Administration sur les résultats du contrôle interne (rapports sur le contrôle interne et la surveillance (7) et (8) des risques) Transmission sans délai à l ACP des incidents significatifs au regard des critères et seuils arrêtés par le Conseil d Administration Responsabilité partagée Évaluation et contrôle périodique de l efficacité des politiques, des dispositifs et des procédures mis en place au titre du contrôle interne (5) Fixation des objectifs annuels de contrôle interne (5) Responsabilités spécifiques du Conseil d Administration (2) Définition des critères et seuils de significativité permettant d identifier les incidents devant être portés à sa connaissance Définition des principes de la politique de rémunération Examen de l activité et des résultats du contrôle interne : Deux fois par an (4) À partir d états de synthèse adaptés Destinataire des rapports annuels sur le contrôle interne et la surveillance des risques (7) et le plan de continuité d exploitation (9) Création du Comité d audit (10) Le contrôle interne des établissements de crédit et des entreprises d investissement Octobre 2010 PricewaterhouseCoopers 7
8 Les caractéristiques d ensemble du système à mettre en place Définition du contrôle interne Le règlement présente une définition élargie de la notion de contrôle interne, en fixant pour ce dernier quatre types d objectifs différents (art. 5) : Qualité et fiabilité (conditions d évaluation, d enregistrement, de conservation et de disponibilité) de l information comptable et financière ; Conformité des opérations, de l organisation et des procédures internes aux dispositions législatives et réglementaires en vigueur, aux normes et usages professionnels et déontologiques et aux orientations de l organe exécutif ; Qualité des systèmes de reporting, d information et de communication ; Respect des décisions de la Direction Générale. Qualité et fiabilité de l'information comptable et financière Conformité aux dispositions législatives et réglementaires Couverture de l ensemble des activités de l entreprise assujettie Le système de contrôle mis en place doit couvrir : L ensemble des activités de l entreprise assujettie (art. 10) ; Les opérations réalisées par les succursales (art. 10) ; Les opérations portant sur des nouveaux produits (art. 11-1) ; Les activités des entreprises contrôlées de manière exclusive ou conjointe (art. 2 et 11) ; Ainsi que les activités essentielles externalisées auprès de prestataires tiers. Peuvent donc ainsi être visées certaines sociétés, qui ne relèvent pas du secteur bancaire, et qui n entrent pas habituellement dans le champ de compétence des règlements bancaires (sociétés d assurance par exemple). Qualité des systèmes de reporting et d'information Objectifs du contrôle interne Respect des décisions de la Direction Générale Adaptation à chaque type d entreprise assujettie et aux entreprises contrôlées Il est de la responsabilité de chaque entreprise assujettie d adapter son système de contrôle interne (art. 1 et 2) aux éléments suivants : La nature et au volume de ses activités ; Sa taille ; Ses implantations ; Les différents risques auxquels elle est exposée ; Et, pour les établissements surveillés sur une base consolidée, l organisation du groupe et à la nature des entreprises contrôlées. Octobre 2010 Le contrôle interne des établissements de crédit et des entreprises d investissement 8 PricewaterhouseCoopers
9 L entreprise assujettie doit veiller à la mise en place de moyens suffisants et adaptés aux activités, à la taille et aux implantations de l entreprise, qu il s agisse (art. 9) : De moyens humains (nombre et qualification des personnes qui participent au fonctionnement du système de contrôle) ; Ou de moyens techniques (outils de suivi et méthodes d analyse des risques). Mise en évidence de deux niveaux de contrôle L établissement doit mettre en place deux niveaux de contrôle (art. 6) : Un contrôle permanent au sein de chaque entité opérationnelle, effectué d une part via certains agents exclusivement dédiés à cette fonction et également par d autres agents exerçant des activités opérationnelles. Et un contrôle périodique qui permet de vérifier l efficacité des dispositifs de contrôle permanent. Chaque nomination des responsables de ces deux fonctions doit en outre faire l objet d une communication interne et externe. Indépendance des différentes fonctions L organisation retenue doit permettre d assurer une stricte indépendance (art. 7) : Au sein des entités opérationnelles, entre les différentes fonctions clés que représentent l initiation des opérations, leur validation comptable, leur règlement et la surveillance des risques qui y sont attachés ; Entre chaque unité opérationnelle et le contrôle de deuxième niveau. Le respect d une stricte indépendance entre les différentes entités opérationnelles peut notamment reposer sur l existence de rattachements hiérarchiques différents jusqu à un niveau suffisamment élevé (art. 7) tels que les organes dirigeants, auxquels est effectué un reporting régulier en matière d activité. Nouvelles fonctions de contrôle Instauration d un contrôle de la conformité L établissement doit procéder à la désignation d un responsable de la conformité, doté d une réelle indépendance à l égard des structures opérationnelles. Celui-ci participe ensuite à la : Définition et formalisation de procédures spécifiques d examen et des procédures d approbation des nouveaux produits ; Mise en place d un système de déclaration des dysfonctionnements, de plans d actions correctives et d un processus de veille réglementaire ; Formation de l ensemble du personnel aux procédures de contrôle de la conformité. Mise en place d une filière Risques La mise en place d une filière Risques «spécifique» a été rendue obligatoire via l arrêté du 19 janvier Un responsable de la filière, dont le nom est communiqué à l ACP, doit ainsi veiller à la cohérence, l efficacité et aux moyens de la politique de gestion des risques de l établissement. Il participe notamment à l élaboration d un recueil de pratiques regroupant le dispositif de surveillance des risques et la tolérance aux différents risques. En outre, la surveillance des risques est renforcée par la mise en place de : Une cartographie des risques permettant d avoir une approche globale de ceux-ci par entité et par ligne métier ; Des systèmes d analyse et de mesure des risques «transversaux» ; Un suivi des risques dans le cadre des opérations sur les nouveaux produits et nouvelles activités. Le contrôle interne des établissements de crédit et des entreprises d investissement Octobre 2010 PricewaterhouseCoopers 9
10 Dispositif du Lutte contre le blanchiment Les principaux axes du dispositif de lutte anti-blanchiment à mettre en place au sein des établissements assujettis ont été défini par l arrêté du 29 octobre Ces mesures rentrent dans le périmètre d analyse du contrôle interne, impliquant les trois niveaux de contrôle suivants : Les intervenants opérationnels doivent être formés aux risques de blanchiment et avoir accès aux procédures en vigueur au sein de l établissement visant à répondre à ces risques ; Le contrôle permanent met en place un suivi des connaissances disponibles concernant les contreparties de l établissement assujetti, et leurs relations sur les marchés ; Le contrôle périodique centralise les différentes anomalies significatives constatées au regard du profil de la clientèle par les cellules anti-blanchiment. Renforcement du contrôle des activités externalisées L établissement assujetti définit quelles sont ses prestations essentielles, eu égard à ses propres spécificités. Les prestations essentielles regroupent notamment les opérations de banque (au sens de l article L du code monétaire et financier), les services d investissement ainsi certaines opérations connexes et autres prestations de services présentant un effet significatif sur la maîtrise des risques. Sur ces prestations essentielles (qui peuvent nécessiter un agrément spécifique ou non), l objectif est ensuite d appliquer un dispositif de contrôle interne renforcé tel qu il s appliquerait si la prestation n était pas externalisée. Contrôle de la politique de rémunération Chaque établissement assujetti doit instaurer un Comité des rémunérations comportant notamment une majorité de membres indépendants, en vertu des dispositions de l arrêté du 3 novembre Outre la publication d un rapport annuel sur les rémunérations (transmis à l ACP), ce nouvel organe est le garant de la bonne exécution des textes en vigueur en matière de rémunérations, dont les récentes évolutions indiquent que : Les personnels chargés de valider les opérations doivent être rémunérés de manière indépendante des opérationnels eux-mêmes ; Les critères de rémunération variable des opérationnels doivent intégrer l ensemble des risques encourus et leurs coûts respectifs. Dans cette optique, il convient d appliquer un versement différé pour une part significative de cette rémunération ; La rémunération variable distribuée au sein d un établissement doit pouvoir être réduite en cas de résultats défavorables, et ne doit pas empêcher un établissement de renforcer ses fonds propres. Mise en place d un Plan de Continuité d activité Dans le cadre de la mise en œuvre de ce plan, l établissement s assure notamment que ses ressources humaines, immobilières, techniques et financières font l objet d une appréciation régulière au regard des risques liés à la continuité d activité. Un rapport est transmis, à ce sujet et au moins une fois par an, au comité d audit. Respect de la piste d audit Pour l élaboration de leur information comptable et financière, les entreprises assujetties doivent respecter un ensemble de procédures, appelé «Piste d audit», dont les 3 composantes sont les suivantes (art. 12) : Reconstitution de l ordre chronologique des opérations ; Justification par inventaire (piste d audit statique) : «toute information doit pouvoir être justifiée par une pièce d origine à partir de laquelle il doit être possible de remonter par un cheminement ininterrompu au document de synthèse et réciproquement» ; Justification par les flux (piste d audit dynamique) : «l évolution des soldes d un arrêté à l autre doit pouvoir être expliqué par la conservation des mouvements ayant affecté les postes comptables». Octobre 2010 Le contrôle interne des établissements de crédit et des entreprises d investissement 10 PricewaterhouseCoopers
11 Limites internes La surveillance et la maîtrise des risques (risques de crédit, de marché, de taux d intérêt global, d intermédiation, de règlement et de liquidité) doivent reposer sur : Un système de limites globales, fixées par la Direction Générale (organe exécutif) et, le cas échéant, par le Conseil d Administration (organe délibérant) et tenant compte du niveau de fonds propres de l établissement (art. 33) ; Des procédures qui permettent de s assurer que ces mêmes limites sont effectivement et en permanence respectées (par exemple, création d un «Comité des risques») (art. 34 et 35). L entité concernée par le respect des limites agit d une part en amont des éventuels dépassements, en analysant les causes d éventuels non-respects de limites et en informant les intervenants opérationnels concernés, mais également en aval via la réalisation d actions correctrices. Conclusion : développement d une «culture» de contrôle interne À notre avis, la mise en place des différents éléments du système de contrôle interne décrits ci-avant suppose le développement d une «culture» de contrôle interne au sein de chaque établissement. Tous les membres d une entreprise assujettie ont en effet un rôle à jouer dans le domaine du contrôle interne. CA* Comité d'audit Direction Générale Responsable du Contrôle interne Fixation de limites globales, revues au moins annuellement Fixation de limites "opérationnelles" Inspection générale et/ou Audit interne Contrôle des Contrôles - Contrôle de deuxième niveau Information annuelle du Conseil d'administration sur le respect des limites (1) LIMITES INTERNES : FIXATION ET SUIVI Contrôle du respect permanent des limites opérationnelles et globales * Conseil d Administration Ensemble du personnel Contrôles permanents au sein des unités opérationnelles Information trimestrielle de la Direction Générale sur le respect des limites et/ou les risques de dépassement En cas de dépassement, information des personnes responsables et mise en place d'actions correctives (1) Cette information doit figurer dans le rapport annuel sur la mesure et la surveillance des risques (voir p. 11) Le contrôle interne des établissements de crédit et des entreprises d investissement Octobre 2010 PricewaterhouseCoopers 11
12 Les différentes natures de risques couvertes par le règlement Les différents outils à mettre en place sont présentés et détaillés dans le règlement par type de risque (voir définitions rappelées ci-dessous), comme le montre le schéma ci-contre : (1) Risque de crédit : «risque encouru en cas de défaillance d une contrepartie ou de contreparties considérées comme un même bénéficiaire au sens de l article 3 du règlement n 93-05» (art. 4-e). (2) Risque de marché, y compris le risque de change (art. 4-f). Il s agit donc du risque de taux d intérêt, du risque sur actions et du risque de règlement contrepartie liés au portefeuille de négociation, ainsi que du risque de change sur l ensemble du bilan et du hors-bilan (à l exception des éléments structurels). (3) Risque de taux d intérêt global : «risque encouru en cas de variation des taux d intérêt du fait de l ensemble des opérations de bilan et de horsbilan, à l exception, le cas échéant, des opérations soumises aux risques de marché» (art. 4-g). (4) Risque de liquidité : «risque pour l établissement de ne pas pouvoir faire face à ses engagements ou de ne pas pouvoir dénouer ou compenser une position en raison de la situation du marché» (art. 4-h). (5) Risque de règlement : «risque encouru, notamment dans les opérations de change, au cours de la période qui sépare le moment où l instruction de paiement d un instrument financier vendu ne peut plus être annulée unilatéralement et la réception définitive de l instrument acheté ou des espèces correspondantes» (art. 4-i). (6) Risque d intermédiation : «risque de défaillance d un donneur d ordres ou d une contrepartie à l occasion d une transaction sur instruments financiers dans laquelle l entreprise assujettie apporte sa garantie de bonne fin» (art. 4-m). (7) Risque Opérationnel : «risque résultant d insuffisances de conception, d organisation et de mise en œuvre des procédures d enregistrement dans le système comptable et plus généralement dans les systèmes d information de l ensemble des événements relatifs aux opérations de l établissement» (art. 4-j). Mise en place de deux types de systèmes : système de mesure des risques et des résultats (10) / système de surveillance et maîtrise des risques (11) Mise en place de moyens adaptés à la maîtrise (12) de ces deux risques Détermination et suivi d un niveau de sécurité souhaitable Risque de crédit (1) Risque de marché (2) Risque de taux d'intérêt global (3) Risque de liquidité (4) Risque de règlement (5) Risque d'intermédiation (6) Risque opérationnel, y compris le risque juridique (7) Risque de non-conformité (8) Risque informatique (9) (7b) Risque juridique : «risque de tout litige avec une Bis contrepartie résultant de toute imprécision, lacune ou insuffisance de nature quelconque susceptible d être imputable à l établissement au titre de ses opérations» (art. 4-k). (8) Risque de non-conformité : «risque de sanction judiciaire, administrative ou disciplinaire, de perte financière significative ou d atteinte à la réputation, qui naît du non-respect de dispositions propres aux activités bancaires et financières». (9) Risque informatique : cette notion n est pas définie par le règlement. (10) Les caractéristiques de ces systèmes sont détaillées dans le règlement pour l ensemble des risques visés : crédit, marché, taux d intérêt global, liquidité et règlement, intermédiation. (11) Il s agit notamment de la mise en place de limites internes (art. 32 à 36). (12) Cette notion n est pas précisée par le règlement. Octobre 2010 Le contrôle interne des établissements de crédit et des entreprises d investissement 12 PricewaterhouseCoopers
13 Les outils à systématiser ou à développer par nature de risque Risque de crédit Élaboration d un système de rating Le développement d un système de notation interne doit permettre d attribuer à chaque contrepartie un niveau de risque matérialisant sa probabilité de défaillance. Ce système sera utilisé, non seulement lors de l octroi du crédit, mais également à chaque revue trimestrielle des encours. Tarification des crédits Toute nouvelle opération de crédit doit être tarifée à partir d une analyse prévisionnelle des charges et produits, directs et indirects, la plus exhaustive possible et portant notamment sur les éléments suivants (art. 20) : Coûts opérationnels ; Coûts de refinancement ; Coûts liés au risque de défaillance de la contrepartie ; Coûts de rémunération des fonds propres. L organe exécutif doit procéder au moins semestriellement, à une analyse a posteriori de la rentabilité des opérations de crédit (art. 20). Dossiers de crédit Chaque dossier doit notamment comprendre des informations (art. 19) : Sur la situation financière du débiteur (qu il soit particulier ou entreprise) ; Sur ses actionnaires et ses dirigeants (s il s agit d une entreprise) ; Et dans tous les cas, sur les garanties reçues. Ce dossier doit être complété au moins trimestriellement si la créance est impayée ou douteuse, ou si le risque ou les volumes concernés sont «significatifs». Procédures de délégation Pour les opérations jugées importantes ou ayant une nature particulière (art. 21) : Les décisions d octroi de prêt doivent être prises par au moins deux personnes ; Et les dossiers de crédit doivent être analysés par une unité spécialisée indépendante des entités opérationnelles. Analyse et stratification des encours Les encours (bilan et hors bilan) doivent pouvoir faire l objet d une stratification par (art. 18) : Niveau de risque ; Secteur économique ; Zone géographique. L identification doit se faire par contrepartie et par groupe de contreparties (notion de «même bénéficiaire»), permettant ainsi d appréhender et de contrôler le risque de concentration au moyen de procédures documentées. Revue trimestrielle des garanties et des provisions Tous les trimestres, il doit être procédé à une analyse globale de la qualité des encours. Cette analyse doit notamment se faire à partir d une évaluation récente des garanties (détermination du risque résiduel) et peut conduire, pour les encours significatifs, à modifier le niveau de risque attribué à la contrepartie. Cela peut également entraîner un déclassement en créances douteuses et/ou une modification du taux de provisionnement (art. 24). Risque de marché Évaluation quotidienne des positions Pour toutes les opérations de change et les opérations portant sur le portefeuille de négociation réalisées pour compte propre, le système mis en place doit permettre d effectuer, au moins quotidiennement (art. 25) : L enregistrement de ces opérations et le calcul des résultats ; La détermination des positions globales et des positions par instruments ; La mesure des risques (voir ciaprès) et la bonne adéquation des fonds propres de l établissement assujetti à ces mêmes risques. Calcul d une Value At Risk (VAR) Si l activité de marché est significative, la mesure des risques qui lui sont liés doit se traduire par Le contrôle interne des établissements de crédit et des entreprises d investissement Octobre 2010 PricewaterhouseCoopers 13
14 le calcul quotidien d une Value-At- Risk (notion de «perte potentielle maximale») (art. 26). Cette notion est définie (art. 4-l) comme «la mesure de l impact le plus défavorable sur les résultats de variations des conditions de marché intervenant sur une période donnée et avec un niveau de probabilité déterminé». Développement de programmes de scénarios de crise (stress test) Les entreprises assujetties doivent veiller à évaluer, de façon régulière, les risques qu elles encourent sur leur portefeuille de négociation au cas où ce dernier aurait à subir de fortes perturbations du marché (art. 27). Rapprochement mensuel du résultat comptable et du résultat de gestion Au moins une fois par mois, les établissements doivent être en mesure pour toutes les opérations qui font encourir des risques de marché (art. 13, c) : De rapprocher le résultat comptable et le résultat de gestion ; D expliquer les écarts constatés. Évaluation de l impact potentiel sur les Fonds Propres Les entreprises assujetties doivent être en mesure de communiquer à l ACP l impact sur leurs fonds propres d un changement soudain et inattendu des taux d intérêt relativement à leurs activités autres que de négociation (sur la base d hypothèses déterminées par l ACP). Risque de taux d intérêt global Évaluation du risque de taux d intérêt global Chaque établissement assujetti doit être en mesure d évaluer périodiquement, lorsqu il est significatif, le risque de taux d intérêt global résultant de l ensemble de ses opérations de bilan et de hors-bilan (à l exception, éventuellement, des opérations générant un risque de marché) (art. 28). Développement de programmes de scénarios de crise (stress test) De la même façon que pour le suivi des risques de marché (voir ci-avant), les entreprises assujetties doivent veiller à évaluer, de façon régulière, les risques qu ils encourent en cas de fortes perturbations du marché (art. 30). Risque de règlement Évaluation du risque de règlement L entreprise assujettie doit veiller à appréhender l exposition à ce type de risque en distinguant les différentes phases du processus de règlement, en particulier (art. 31) : L heure limite pour annuler unilatéralement une opération ; La réception définitive des fonds (chez le correspondant) ; La constatation de la réception définitive de ces fonds (ou de l impayé) chez l établissement. Les procédures mises en place doivent permettre aux entreprises assujetties de connaître leur exposition actuelle et future au risque de règlement à mesure qu elles concluent de nouvelles opérations et en tenant compte des opérations en cours. Ces dispositions s appliquent à toutes les entreprises assujetties. Des dispositions spécifiques et complémentaires pour les «prestataires» sont prévues à l article 31-1 et sont précisées ciaprès. Risques de liquidité et de règlement Prestataires assujettis Ces dispositions ne s appliquent qu aux prestataires de services d investissement qui apportent leur garantie de bonne fin à l occasion de transactions sur instruments financiers et aux personnes morales mentionnées à l art du Code monétaire et financier («prestataires») (art. 31-1). Évaluation des risques de liquidité et de règlement Chaque prestataire doit disposer d un système de mesure des risques de liquidité et de règlement découlant de l exécution de services d investissement ou de compensation permettant (art. 31-1) : D appréhender en date de règlement l intégralité des flux de trésorerie et de titres, en prenant en considération en particulier les flux certains ou prévisibles d espèces ou de titres liés à des opérations à terme ou à des instruments financiers à terme ; D identifier pour les différents instruments financiers et pour chaque système de règlementlivraison utilisé, les différentes phases du processus de règlement et de livraison ; D assurer la surveillance des opérations jusqu à leur date de règlement effectif, notamment en cas de retard ou d impayés ; De mesurer les ressources titres ou espèces aisément mobilisables permettant de Octobre 2010 Le contrôle interne des établissements de crédit et des entreprises d investissement 14 PricewaterhouseCoopers
15 respecter les engagements pris à l égard des contreparties, dans le respect des règles de ségrégation des actifs ; Un suivi journalier des opérations ayant entraîné des suspens et un suivi de l apurement dans les plus brefs délais de ces derniers. Lorsque les opérations sont traitées par un système de règlement-livraison comportant des règlements définitifs en cours de journée, le système de mesure doit identifier les flux prévisionnels de titres ou d espèces en cours de journée, de façon à tenir compte des heures limites pour l annulation unilatérale des ordres. Développement de programmes de scénarios de crise (stress test) Les prestataires doivent veiller à évaluer au moins une fois par an, de façon régulière, les risques de liquidité et de règlement qu ils encourent en cas de fortes perturbations du marché ou dans l hypothèse de la défaillance d un donneur d ordres (art ). Risque d intermédiation Prestataires assujettis Ces dispositions ne s appliquent qu aux prestataires de services d investissement qui apportent leur garantie de bonne fin à l occasion de transactions sur instruments financiers et aux personnes morales mentionnées à l art du Code monétaire et financier (art. 30-1). Évaluation du risque d intermédiation Chaque prestataire doit disposer d une procédure de sélection et de mesure des risques d intermédiation permettant (art. 30-1, 1 et 2 ) : D appréhender les engagements à l égard des donneurs d ordre et des contreparties ; De recenser par donneur d ordres les garanties constituées sous forme de dépôts d espèces ou d instruments financiers. Les procédures d engagement des opérations doivent être formalisées notamment lorsqu elles sont organisées sous forme de délégations. L appréciation du risque sur chaque donneur d ordres doit tenir compte : D éléments relatifs à la situation financière de ce dernier ; Des caractéristiques des opérations qu il transmet. Suivi des opérations Chaque prestataire doit disposer d un système de suivi des opérations d intermédiation permettant notamment (art. 30-1, 3 ) : D enregistrer sans délai les opérations déjà réalisées et d enregistrer comme positions pour compte propre les opérations non immédiatement imputées au compte du donneur d ordres ; De calculer quotidiennement la valeur de marché des positions des donneurs d ordres et des instruments financiers apportés en garantie par ces derniers ; De suivre quotidiennement les erreurs dans la prise en charge et l exécution des ordres ; ces positions doivent être considérées comme des risques de marché pris pour compte propre ; D établir la chronologie des opérations ; D évaluer a posteriori les positions prises en cours de journée. Développement de programmes de scénarios de crise (stress test) De la même façon que pour le suivi des risques de marché et du risque de taux d intérêt global (voir ci-avant), les prestataires doivent veiller à évaluer, au moins une fois par an, leurs risques en cas de forte variation des paramètres de marché ou de la défaillance des donneurs d ordres. Risque informatique Niveau de sécurité et contrôles Les systèmes d information et de communication doivent être adaptés au niveau de sécurité informatique fixé par la Direction Générale et faire l objet de contrôles périodiques sur (art. 14) : Le niveau de sécurité qu ils offrent et, le cas échéant, la mise en œuvre d actions correctrices ; L existence de procédures de secours informatique (backup) permettant d assurer la continuité de l exploitation en cas de difficultés graves de fonctionnement. Risque opérationnel Les établissements se doivent de mettre en place des systèmes adaptés d analyse et de mesure des risques opérationnels (arrêté du 14 janvier 2009). Ces systèmes doivent en particulier prévoir les critères et les seuils permettant d identifier comme significatifs les incidents relevés par les procédures de contrôle interne (les critères et seuils sont communiqués à l ACP). Le règlement précise que toute fraude est réputée significative si elle entraîne une perte ou un gain brut supérieur à 0.5 % des fonds propres (uniquement si ce montant est supérieur à ). En cas d incidents significatifs, l organe exécutif est chargé d en informer sans délai la commission bancaire. Le contrôle interne des établissements de crédit et des entreprises d investissement Octobre 2010 PricewaterhouseCoopers 15
16 Tableau récapitulatif des documents et rapports à produire Nature et contenu des documents ou rapports Date de remise (1) Destinataires Organe exécutif Organe central Manuels de procédures (Règlement 97-02, art. 40, al. 1) - modalités d enregistrement, de traitement et de restitution des informations - schémas comptables - procédures d engagement des opérations Document précisant les moyens destinés à assurer le bon fonctionnement du contrôle interne - différents niveaux de responsabilité - attributions dévolues et moyens affectés au fonctionnement des dispositifs de contrôle interne - règles qui assurent l indépendance de ces dispositifs - procédures relatives à la sécurité des systèmes d information et de communication - description des systèmes de mesures des risques - description des systèmes de surveillance et de maîtrise des risques - description du mode d organisation de la gestion de trésorerie dans le cadre de l exécution des services d investissement ou de compensation et des conditions dans lesquelles est suivie la trésorerie prévisionnelle - plan de continuité d exploitation Rapports établis suite aux contrôles effectués par les établissements (Règlement 97-02, art. 41) - Contrôles effectués dans le cadre des dispositifs visés au b de l article 6 (c est-à-dire par exemple, à notre avis, rapports d inspection, rapport sur la politique de rémunération, etc.) Rapport annuel sur le contrôle interne du Groupe (4) (Règlement 97-02, art. 42) - inventaire des enquêtes réalisées (insuffisances relevées, mesures correctrices) - modifications significatives réalisées dans le domaine du contrôle interne (prise en compte de l évolution des activités et des risques) - conditions d application des procédures mises en place pour les nouvelles activités - contrôle interne des succursales à l étranger - principales actions projetées dans le domaine du contrôle interne - en annexe : conventions et opérations conclues avec les dirigeants et actionnaires principaux N/A (document permanent) N/A (document permanent) N/A (documents ponctuels) Mise à disposition, à leur demande Mise à disposition, à leur demande Communication obligatoire 30 avril Supervision (3) Communication obligatoire Octobre 2010 Le contrôle interne des établissements de crédit et des entreprises d investissement 16 PricewaterhouseCoopers
17 Organe délibérant et comité d audit ACP et Commissaires aux Comptes Recommandations et suggestions de l ACP Mise à disposition, à leur demande Mise à disposition, à leur demande Mise à disposition, à leur demande Mise à disposition, à leur demande Communication à leur demande Tenus à leur disposition Communication obligatoire Structure proposée (2) : I. Présentation synthétique du Contrôle Interne de 2 e niveau (organigramme, nom et coordonnées du responsable, rattachement hiérarchique du responsable, autres fonctions éventuellement exercées par le responsable, dates auxquelles l organe délibérant a examiné l activité et les résultats du contrôle interne). II. Modifications intervenues dans le domaine du contrôle interne III. Conditions d application des procédures mises en place pour les nouvelles activités (description des nouvelles activités et des risques y afférant, présentation des procédures définies, modalités de mise en œuvre du contrôle) IV. Principales actions projetées dans le domaine du contrôle interne (tant dans l organisation que dans les méthodes utilisées) V. Organisation du contrôle interne des succursales et des filiales à l étranger (description synthétique de la nature et de la fréquence des «reportings», modalités de suivi et de contrôle des opérations réalisées dans le cadre de la libre prestation de services). VI. Enquêtes réalisées par les équipes de contrôle interne (cycle de contrôle, insuffisances relevées) Le contrôle interne des établissements de crédit et des entreprises d investissement Octobre 2010 PricewaterhouseCoopers 17
18 Nature et contenu des documents ou rapports Date de remise (1) Destinataires Organe exécutif Organe central Rapport annuel sur la mesure et la surveillance des risques (Règlement 97-02, art. 43) - enseignements principaux qui peuvent être dégagés des mesures de risques auxquels est exposé l établissement ainsi que, le cas échéant, le groupe pour les établissements et les compagnies financières surveillées sur une base consolidée (notamment répartition des encours de crédit par niveau de risque, par secteur économique et zone géographique, et analyse de la rentabilité des opérations de crédit) - décisions prises en matière de fixation de limites et conditions dans lesquelles les limites fixées sont respectées - les hypothèses retenues dans le cadre du contrôle de la liquidité des prestataires de services d investissement - les hypothèses retenues pour le développement de programmes de scénarios de crise 30 avril Supervision (3) Communication obligatoire Octobre 2010 Le contrôle interne des établissements de crédit et des entreprises d investissement 18 PricewaterhouseCoopers
19 Organe délibérant et comité d audit ACP et Commissaires aux Comptes Communication obligatoire Recommandations et suggestions de l ACP Structure proposée (2) : I. Présentation synthétique des Risques : (description des principales activités exercées, présentation des principaux risques générés par ces activités) II. Risque de crédit - relevés de la répartition globale par ensemble de contreparties - éléments d information sur la gestion du risque (prise de garantie, collatéraux) et modalités de révision des dossiers de crédit - description des limites d engagement fixées - modalités et périodicité de leur révision - modalités et périodicité de leur révision - dépassements éventuels de ces limites, les procédures suivies pour autoriser ces dépassements et les mesures prises pour les régulariser - éléments d analyse de la rentabilité prévisionnelle des opérations de crédit pris en compte lors de la décision d engagement - modalités et périodicité de l analyse par l organe exécutif de la rentabilité des opérations de crédit III. Risque de marché - description synthétique des limites fixées et périodicité de la révision des limites fixées - dépassements éventuels des limites observés au cours du dernier exercice - procédures suivies pour autoriser ces dépassements - mesures mises en place pour les régulariser - description des scénarios de stress et de leurs principales conclusions - analyse des écarts entre les résultats comptables et leurs résultats de gestion IV. Risque de taux d intérêt global - description synthétique des limites fixées et périodicité de la révision des limites fixées - présentation de la méthode d évaluation et de surveillance utilisée par l établissement - résultats de cette méthode précisant l impact d une variation des taux sur les résultats et les fonds propres V. Risque de règlement VI. Risque d illiquidité VII. Autres risques, y compris opérationnels (à compléter en fonction des risques identifiés par l établissement : risques liés aux systèmes d information, risque juridique, fiscal, etc.). Annexes relatives à : - la sécurité des moyens de paiement - les hypothèses utilisées pour établir le tableau de trésorerie, et analyse de l évolution des impasses calculées dans les tableaux de trésorerie établis au cours de l exercice (relatives au risque d illiquidité) Le contrôle interne des établissements de crédit et des entreprises d investissement Octobre 2010 PricewaterhouseCoopers 19
20 «Les informations contenues dans cette publication ne peuvent en aucun cas être assimilées à des prestations de services ou de conseil rendues par leurs auteurs ou éditeurs. Aussi, elles ne peuvent être utilisées comme un substitut à une consultation rendue par une personne professionnellement compétente. Cette publication est la propriété de PricewaterhouseCoopers Audit. Toute reproduction et /ou diffusion, en tout ou partie, par quelque moyen que ce soit est interdite sans autorisation préalable. PricewaterhouseCoopers Audit (2010). Tous droits réservés».