Règlement n °011/2015/BCC/DSBR du 28 janvier 2015 relatif au dispositif de contrôle interne, de gestion et de maitrise des risques des établissements de crédit

Les dispositifs de mesure, de maîtrise et de surveillance des risques doivent permettre de s’assurer que :

• l’ensemble des risques bancaires et non bancaires encourus par l’institution, notamment le risque de crédit, les risques opérationnels, le risque de liquidité ainsi que les risques liés aux activités externalisées soit correctement identifié, évalué et maîtrisé ;
• un dispositif de suivi et de gestion de ces risques est mis en place.

Les systèmes de mesure des risques doivent permettre aux établissements de crédit de disposer d’une cartographie des risques qui identifie et évalue les risques encourus au regard de facteurs internes (notamment la complexité de l’organisation, la nature des activités exercées, le professionnalisme des personnels et la qualité des systèmes) et externes (notamment les conditions économiques et les évolutions réglementaires).

Cette cartographie :

• a) prend en compte l’ensemble des risques encourus ;
• b) évalue l’adéquation des risques encourus par rapport aux orientations de l’activité ;
• c) identifie les actions en vue de maîtriser les risques encourus, par :
• le renforcement des dispositifs de contrôle permanent ;
• la mise en œuvre des systèmes de surveillance et de maîtrise des risques ;
• la définition des plans de continuité d’activité prévus par la présente instruction.

Le risque de crédit, les risques opérationnels et le risque de liquidité doivent être maintenus dans des limites globales déterminées par l’organe exécutif, avec information à l’organe délibérant, selon une approche des risques.

L’organe exécutif peut fixer, pour les entités appartenant à un réseau d’IFD, des limites différenciées. Ces limites sont revues autant que nécessaire et au moins une fois par an.

Le contrôle du respect des limites est effectué de façon régulière et inopinée par le contrôle interne et donne lieu à l’établissement d’un compte rendu à l’attention des organes délibérant et exécutif. Ce compte rendu comporte, le cas échéant, une analyse des raisons ayant motivé les dépassements ainsi que, s’il y a lieu, les propositions et/ou recommandations y afférentes.

Les établissements de crédit mettent en place un dispositif de mesure, de maîtrise et de suivi des risques liés aux nouveaux produits et aux nouvelles activités.

Ce dispositif doit permettre notamment :

• de définir les conditions requises pour la conception d’un nouveau produit ou d’une nouvelle activité, en particulier, l’identification des ressources techniques et humaines nécessaires ;
• de procéder, préalablement au lancement du nouveau produit ou de la nouvelle activité, à une analyse formalisée des risques encourus et de la conformité à la législation en vigueur ;
• de faire approuver par l’organe exécutif tout nouveau produit ou toute nouvelle activité comportant un niveau de risque significatif. L’établissement de crédit peut le cas échéant en informer préalablement la Banque Centrale pour recueillir son avis.

Les établissements de crédit doivent mettre en place un dispositif approprié pour la gestion du risque de crédit, avec le conseil d’administration approuvant la stratégie, la direction générale mettant en œuvre la stratégie et développant des politiques et des procédures, et les services de l’établissement de crédit capable d’identifier et de gérer le risque de crédit inhérent à toutes ses activités.

Dans le cas des Unions d’institutions financières décentralisées, le conseil d’administration de l’Union approuve la stratégie et la politique générale en matière de risque de crédit tandis que le conseil d’administration de l’IFD affiliée veille à sa mise en œuvre.

Le dispositif de sélection, de mesure, de suivi et de maîtrise du risque de crédit doit permettre de s’assurer que les risques de défaillance des contreparties auxquels est exposé l’établissement, sont correctement évalués et régulièrement suivis, conformément aux stratégies, aux politiques, aux procédures et aux limites qu’il a définies.

Les établissements de crédit doivent s’assurer que la sélection des crédits reposent sur un processus d’octroi encadré par des politiques et organisé avec des procédures internes et des instructions écrites précisant :

• les critères d’appréciation du risque de crédit ;
• la définition des attributions des personnes et des organes habilités à engager l’établissement.

Ces critères doivent être adaptés aux caractéristiques de l’établissement, en particulier, sa taille, la nature et la complexité de ses activités.

Les procédures doivent :

• couvrir les différents aspects des activités d’octroi de crédit (demande de crédit, analyse de la demande, approbation du dossier, décaissement, surveillance et recouvrement) ainsi que les opérations administratives qui en résultent ;
• comporter des dispositions spécifiques relatives à l’approbation de l’extension, du renouvellement et de la restructuration des crédits.

Sont considérées comme des parties liées à l’établissement de crédit :

• les filiales de l’établissement ;
• les sociétés affiliées et toute autre contrepartie (y compris ses filiales, sociétés affiliées et structures ad hoc) sur laquelle l’établissement de crédit exerce un contrôle ou qui exerce un contrôle sur lui ;
• les actionnaires principaux, les administrateurs, la direction générale, les principaux cadres, les apparentés au premier rang, ainsi que les personnes correspondantes dans les sociétés affiliées.

Sont considérées comme des transactions avec des parties liées, notamment :

• les engagements et créances figurant au bilan et hors bilan ;
• les contrats de service, les achats et ventes d’actifs, les contrats de construction, les contrats de crédit-bail, les opérations sur produits dérivés, les emprunts et les annulations de créances.

Les transactions avec des parties liées à l’établissement de crédit ne peuvent être assorties de conditions plus favorables (en termes d’évaluation du crédit, de teneur du contrat, de taux d’intérêt, de commissions, d’échéancier de remboursement, de garanties exigées) que celles applicables au reste de la clientèle.

Une exception peut être faite pour les conditions préférentielles qui font partie de la rémunération globale du personnel (par exemple, prêts à taux privilégié).

Les transactions avec des parties liées à l’établissement de crédit doivent s’effectuer selon les politiques et procédures applicables au reste de la clientèle et faire l’objet d’un suivi spécifique pour en maîtriser les risques.

L’octroi des crédits doit tenir compte, notamment :

• de la nature des activités exercées par le bénéficiaire, sa situation financière, sa surface patrimoniale, sa capacité de remboursement et les garanties et sûretés proposées ;
• du taux d’endettement du bénéficiaire auprès des autres établissements de crédits de la place ;
• dans le cas d’une personne morale, outre l’analyse de l’activité et de la rentabilité de l’entreprise (à partir des états comptables certifiés les plus récents),il faut également prendre en compte la situation financière et patrimoniale de ses principaux actionnaires ou associés, ainsi que l’analyse de son environnement économique, et celle des entités avec laquelle elle a des intérêts liés.

Les décisions d’octroi de crédit doivent tenir compte de la rentabilité prévisionnelle globale des opérations effectuées avec le client et ce, à travers l’analyse prévisionnelle des charges et produits directs et indirects qui s’y rapportent (coûts opérationnels et charges de refinancement, coût du risque et charges correspondantes au risque de défaillance éventuelle de la contrepartie, ainsi que la rémunération des fonds propres).

L’établissement de crédit doit procéder, au moins une fois par an, à une analyse a posteriori de la rentabilité globale des opérations de crédit. A cette occasion, un rapport doit être établi et remis à l’organe exécutif qui en informe l’organe délibérant.

Les procédures de décision de prêts ou d’engagements, notamment lorsqu’elles sont organisées par voie de délégation, doivent être clairement formalisées et adaptées aux caractéristiques de l’établissement, en particulier à sa taille, son organisation, sa nature et son activité.

Lorsque la nature et l’importance des opérations le rendent nécessaire, les établissements de crédit s’assurent, dans le cadre du respect des procédures de délégation définies, que les décisions de prêts ou d’engagements soient prises par au moins deux personnes et que les dossiers de crédit aient fait, le cas échéant, l’objet d’une analyse par une unité spécialisée indépendante des entités opérationnelles.

Lors de l’octroi de prêts ou d’engagements envers les actionnaires, les administrateurs ou les dirigeants, les établissements de crédit examinent la nature des opérations, s’assurent qu’elles ne fassent pas l’objet de conflits d’intérêt et qu’elles soient conformes aux conditions du marché.

Les risques de crédit encourus sur des contreparties bénéficiant de concours importants, doivent être approuvés par l’organe exécutif, faire l’objet d’une surveillance particulière, tant sur base individuelle que consolidée, et d’une information périodique à l’organe délibérant.

Les demandes de crédit donnent lieu à la constitution de dossiers comportant, notamment, les éléments d’identification du client bénéficiaire, les documents comptables les plus récents ainsi que les informations, quantitatives et qualitatives permettant l’appréciation du risque de crédit par la prise en compte des éléments sur la situation financière du client bénéficiaire, en particulier de sa capacité de remboursement, et, le cas échéant, des garanties reçues.

Les dossiers de crédit doivent être mis à jour régulièrement et au moins semestriellement pour les contreparties dont les créances sont impayées ou douteuses.

Les établissements de crédit doivent consulter régulièrement la centrale des risques et des incidents de paiement pour la sélection et la mesure de leurs risques de crédit, vérifier leur pertinence au regard des incidents de paiement constatés dans le passé récent et en tenant compte de l’évolution de l’activité du client et de l’environnement économique et juridique.

Les établissements de crédit doivent mettre en place des mécanismes adéquats leur permettant de s’assurer :

• du respect de l’application en leur sein des stratégies, des politiques et procédures de gestion des risques de crédit mises en place ;
• de la qualité de ces stratégies, politiques et procédures pour des éventuelles mises à jour ;
• du respect des limites aux expositions aux mêmes contreparties et aux personnes apparentées ;
• de l’application de processus d’identification du risque de crédit ;
• de l’application de processus d’analyse et d’évaluation du risque de crédit ;
• de l’application du processus de mesure et du suivi de gestion de risque de crédit ;
• du respect de l’interaction entre l’organe délibérant et l’organe exécutif sur la gestion de risque de crédit ;
• de l’adéquation de leurs fonds propres réglementaires au regard de leur profil de risque de crédit ;
• de l’application des mécanismes d’atténuation des risques de crédit.

Les établissements de crédit doivent disposer d’un système d’analyse, de mesure et de maîtrise des risques qui résultent de l’ensemble des opérations de bilan et de hors bilan pour lesquelles l’établissement encourt un risque de défaillance d’une contrepartie. Ce système doit leur permettre, notamment :

• d’identifier, de mesurer et d’agréger de manière centralisée leurs risques de bilan et de hors bilan à l’égard d’une contrepartie ou des contreparties considérées comme un même bénéficiaire ;
• d’appréhender les différentes catégories de niveaux de risques à partir d’informations qualitatives et quantitatives ;
• d’appréhender et de contrôler le risque de concentration au moyen des procédures documentées ;
• d’appréhender et de contrôler le risque résiduel au moyen de procédures documentées ;
• de vérifier l’adéquation de la diversification des engagements à leur politique en matière de crédit.

Les établissements de crédit doivent procéder, au moins trimestriellement, à l’analyse de l’évolution de la qualité de leurs engagements afin d’identifier les créances irrégulières ou en souffrance. A cette occasion, il est procédé aux reclassements éventuellement nécessaires au sein des catégories internes d’appréciation du niveau de risque de crédit, ainsi que, en tant que de besoin, aux affectations dans les rubriques comptables de créances douteuses et à la constitution des niveaux appropriés de provisions, conformément au règlement relatif à la classification et au provisionnement des créances.

Les établissements de crédit doivent se doter de dispositif de mesure, de maîtrise et de surveillance du risque de concentration du crédit.

Le risque de concentration du crédit peut découler de l’exposition envers :

• des contreparties individuelles ;
• des groupes d’intérêt ;
• des types de crédit ;
• des contreparties appartenant à un même secteur d’activité, à une même région géographique, ou à un même pays ;
• des contreparties dont les résultats financiers dépendent d’une même activité, d’un même secteur économique ou d’un même produit de base ;
• des expositions découlant de la concentration des techniques d’atténuation du risque de crédit, sûreté ou garantie.

Les établissements de crédit doivent régulièrement effectuer des simulations de crise pour évaluer la vulnérabilité de leur portefeuille de crédits en cas de retournement de conjoncture ou de détérioration de la qualité des contreparties.

Ils doivent également effectuer périodiquement des simulations de crise sur leurs principales formes de concentration du risque de crédit et examiner les impacts sur les résultats et les fonds propres réglementaires.

Le risque de liquidité implique pour les établissements de crédit l’estimation, sur une base permanente et prospective, de leur capacité à faire face à tout moment à leurs exigibilités et d’honorer leurs engagements envers les tiers, au fur et à mesure qu’ils viennent à échéance.

Les établissements de crédit doivent se doter d’un dispositif d’identification, de mesure, de maîtrise et de surveillance du risque de liquidité avec l’organe délibérant approuvant la stratégie, l’organe exécutif mettant en œuvre la stratégie en développant des politiques et des procédures.

Ce dispositif doit permettre de suivre, de manière permanente, leurs besoins nets de liquidité par échéance et de respecter en permanence le coefficient de liquidité tel que défini par la Banque Centrale.

Les organes délibérants des établissements de crédit doivent être en mesure d’identifier :

• les différentes sources potentielles du risque de liquidité auxquelles ils sont exposés, du fait de la structure de leur bilan et de leurs activités hors bilan, ainsi que les impacts sur leur profil de risque et sur leur position de liquidité ;
• les effets des conditions macroéconomiques et de marché sur leur risque de liquidité ;
• les instruments, et les actifs liquides à détenir pour répondre de manière adéquate à leurs besoins de liquidité d’urgence en cas de difficultés importantes.

Les établissements de crédit doivent prévenir les risques de liquidité en analysant et évaluant :

• les dépassements réguliers des limites internes ;
• la détérioration de la qualité de leurs actifs ;
• la concentration élevée dans certains actifs ou sources de financement ;
• la baisse des revenus et des marges d’intérêt reçus ;
• la hausse des coûts de financement ou de refinancement ;
• les difficultés ou incapacités à se financer sur le marché ;
• la détérioration des positions de flux de trésorerie due à de plus importants paiements d’échéances, notamment à court terme.

Les établissements de crédit doivent mettre en place un processus de mesure du risque de liquidité en fonction de leur profil de risque, de leur taille, de la nature et de la complexité de leurs activités.

Ils doivent estimer les flux de trésorerie futurs sur différentes échéances afin de calculer la position nette de liquidité au jour le jour, sur ces différentes échéances, et être en mesure de calculer, à tout moment, la position nette cumulée de liquidité à court terme ainsi que sur de plus longues durées.

Les établissements de crédit doivent mettre en œuvre des techniques d’atténuation du risque de liquidité et, notamment, détenir un niveau adéquat d’actifs liquides et diversifier leurs sources de financement ou de refinancement.

Ils doivent évaluer leur exposition au risque de liquidité en procédant à des simulations de crises reposant sur l’utilisation de scénarios qui diffèrent en termes de probabilité, de sévérité et de durée.

Ils doivent mettre en place des plans d’urgence qui doivent couvrir les différentes situations de crises anticipées et permettre une gestion adéquate d’une éventuelle crise de liquidité.

Les sources de risques opérationnels sont, notamment :

• les fraudes internes et externes ;
• les interruptions d’activités et les pannes de systèmes, notamment informatiques ;
• les dommages causés aux biens physiques ;
• la mauvaise exécution des processus opérationnels et des opérations avec la clientèle ;
• les pratiques commerciales inappropriées à l’égard de la clientèle concernant les produits et l’activité commerciale ;
• les pratiques inappropriées en matière d’emploi et de sécurité sur les lieux de travail ;
• les défaillances en relation avec des problèmes juridiques et judiciaires.

Les établissements de crédit doivent mettre en place un environnement approprié pour la gestion du risque opérationnel, avec l’organe délibérant approuvant la stratégie, l’organe exécutif mettant en œuvre la stratégie et développant des politiques et des procédures, et les services de l’établissement identifiant et gérant le risque opérationnel résultant de toutes ses activités.

Le dispositif d’identification, de mesure, de maîtrise et de surveillance des risques opérationnels, y compris juridiques, doit comprendre au moins, les éléments suivants :

• la définition des objectifs et des principes de gestion des risques opérationnels ;
• l’identification des sources potentielles de risques opérationnels et la mise en place d’indicateurs avec des seuils, dont le dépassement déclenche la mise en œuvre d’actions préventives ;
• l’identification des forces et faiblesses de son environnement opérationnel ;
• les procédures de suivi et de contrôle de ces risques ;
• les responsabilités et les systèmes de reporting aux différents niveaux de l’établissement.

Les politiques et procédures de gestion du risque opérationnel doivent être adaptées à la taille de l’établissement et à la nature et la complexité de ses activités.

Le dispositif de gestion du risque opérationnel doit faire l’objet d’une actualisation, au moins annuelle, et d’une évaluation régulière en fonction de l’évolution de l’activité.

Les systèmes d’analyse et de mesure des risques mis en place par les établissements de crédit doivent prévoir les critères et seuils permettant d’identifier les incidents opérationnels significatifs pouvant avoir un impact financier.

Ces critères doivent être adaptés à l’activité de l’établissement de crédit et couvrir les risques de pertes, y compris lorsque celles-ci ne se sont pas matérialisées, ainsi que les risques de manque à gagner.

Les incidents opérationnels dont l’impact financier est supérieur ou égal à 3 % des fonds propres de l’établissement de crédit doivent faire l’objet d’une information sans délai de l’organe délibérant.

Pour les IFD, ce seuil d’information ne peut être inférieur à 1 millions de francs comoriens.

Tout acte de fraude, quel que soit sa nature et son importance, constaté par un membre du personnel doit être immédiatement signalé au responsable hiérarchique et au responsable du contrôle interne. Dans l’hypothèse d’une fraude interne, l’identité de l’agent déclarant de bonne foi doit être tenue secrète afin d’assurer sa protection.

Une charte de protection pour les dénonciateurs doit être élaborée et validée par l’organe délibérant.

Les cas avérés de fraude impliquant un supérieur hiérarchique ou un membre de l’exécutif doivent être signalés par le contrôleur interne directement à l’organe délibérant et au comité d’audit.

Le responsable du contrôle interne doit rédiger un rapport spécifique, dans un bref délai, relatif à chaque cas de fraude révélé.

Celui-ci doit porter notamment sur les circonstances et la manière dont la fraude a été opérée, l’identité de la ou des personnes impliquées dans l’acte de fraude, le montant estimé du préjudice, les mesures prises par l’établissement de crédit en interne pour remédier aux défaillances constatées et les actions en justice éventuellement engagées.

Ce rapport doit être visé par l’organe exécutif et remis à l’organe délibérant et, le cas échéant, au comité d’audit. Une copie de ce rapport doit être adressée sans délai à la Banque Centrale dès lors que le montant de la fraude excède cinq millions de francs comoriens.

Les autres cas de fraude dont le montant est inférieur au seuil précité, ainsi que les mesures correctives prises, doivent être mentionnés dans le rapport annuel de contrôle interne.

Le plan de continuité de l’activité doit permettre d’assurer le fonctionnement ininterrompu des activités des établissements de crédit et de limiter les pertes en cas de perturbation de l’exploitation due à un événement majeur relevant du risque opérationnel.

Les établissements de crédit doivent disposer d’un plan de continuité de l’activité leur permettant de :

• s’assurer que leur organisation et la disponibilité de leurs ressources humaines, immobilières, techniques et financières fassent l’objet d’une appréciation régulière au regard des risques liés à la continuité de l’activité ;
• s’assurer de la cohérence et de l’efficacité du plan de continuité de l’activité par rapport aux objectifs définis par l’organe exécutif et, le cas échéant, par l’organe délibérant.

En fonction de la taille et de la nature des activités de l’établissement de crédit, un responsable du plan de continuité de l’activité peut être nommé par l’organe exécutif afin d’assurer la mise en œuvre des mesures liées à ce plan.

L’efficacité du plan de continuité d’activité doit être évaluée périodiquement au moyen de tests de mise en œuvre en grandeur réelle dont les modalités sont déterminées en fonction de l’importance des risques opérationnels encourus.

Le responsable du plan de continuité de l’activité établit annuellement un rapport sur le plan de continuité de l’activité qu’il adresse à l’organe exécutif. Ce rapport est transmis à l’organe délibérant et, le cas échéant, au comité d’audit. Une copie pour information est communiquée au responsable du contrôle interne. Ce rapport doit contenir des éléments d’information sur les caractéristiques pratiques du plan et sur les résultats des tests réalisés en cours d’année.

Une synthèse des activités du responsable du plan de continuité de l’activité doit figurer dans le rapport annuel sur le contrôle interne prévu à l’article 23 du présent règlement.

Les établissements de crédit demeurent exclusivement responsables de leurs activités externalisées.

Tout projet d’externalisation d’activités relevant du périmètre d’agrément de l’établissement, ou tout contrat de prestation de services externalisée existante présentant un effet significatif sur la maîtrise des risques, doit être communiqué pour information à la Banque Centrale. Celle-ci dispose d’un droit d’accès aux informations relatives aux activités externalisées et les établissements de crédit prennent les mesures nécessaires pour s’en assurer.

Pour l’externalisation de leurs activités, les établissements de crédit doivent respecter les dispositions suivantes :

• choisir le prestataire externe avec la vigilance et la prudence nécessaires, en tenant compte de sa situation financière, de sa réputation et de ses capacités techniques et de gestion. Une attention particulière doit être accordée au risque de dépendance qui apparaît lorsque des activités ou fonctions sont confiées à un unique prestataire pendant une période prolongée ;
• mettre en place une politique formalisée d’évaluation et de contrôle des risques liés à l’externalisation et des relations avec les prestataires externes ;
• s’assurer que les accords d’externalisation ne réduisent pas la capacité de l’établissement de crédit à respecter ses engagements vis-à-vis de ses clients et de la Banque Centrale ;
• gérer les activités externalisées dans le cadre de contrats écrits qui décrivent clairement tous les aspects juridiques et matériels de l’accord d’externalisation, notamment les droits, les responsabilités et les attentes de chacune des parties.

Les contrats de prestations externalisées doivent notamment contenir les clauses réglementaires suivantes :

• a) le droit de contrôle sur place du prestataire par l’établissement de crédit, portant sur la prestation externalisée ;
• b) le droit d’accès par la Banque Centrale chez le prestataire d’un établissement de crédit à l’occasion d’un contrôle sur place ;
• c) des exigences précises relatives au niveau de qualité attendu de la prestation ;
• d) un reporting régulier du prestataire à l’établissement de crédit sur les conditions de mise en œuvre de la prestation ;
• e) la protection de l’information confidentielle de l’établissement de crédit et de sa clientèle contre toute divulgation à des tiers non autorisés ;
• f) un plan de continuité d’activité propre au prestataire et relatif à la prestation externalisée.

Les dispositions du présent règlement s’appliquent à la mise en œuvre de la loi n° 12-008/AU du 28 juin 2012, relative à la lutte contre le blanchiment d’argent et le financement du terrorisme.

En tant que de besoin, les modalités d’application de cette loi font l’objet d’un règlement spécifique de la Banque Centrale.

Les activités de l’établissement de crédit relatives à la lutte anti blanchiment doivent être présentées dans le rapport de contrôle interne prévu à l’article 23 du présent règlement.

Les établissements de crédit agréés à la date de publication du présent règlement disposent d’un délai de trois ans pour se conformer à l’ensemble de ses dispositions.

Chaque établissement de crédit est tenu de remettre à la Banque Centrale, dans les 90 jours suivant la date de publication du présent Règlement, un rapport de mise en conformité de l’ensemble de ses dispositions.

Le présent Règlement entre en vigueur à compter de sa date de signature.