Règlement n °011/2015/BCC/DSBR du 28 janvier 2015 relatif au dispositif de contrôle interne, de gestion et de maitrise des risques des établissements de crédit

Le dispositif de contrôle des opérations et des procédures internes doit permettre aux établissements de crédit de s’assurer notamment :

• de la conformité des opérations effectuées et des procédures internes avec les dispositions législatives, réglementaires et prudentielles en vigueur ainsi que les usages professionnels et déontologiques ;
• du respect des procédures de décisions et de prises de risque ainsi que des normes de gestion fixées par les organes délibérants et exécutifs ;
• de la qualité de l’information comptable et financière diffusée en interne et en externe ;
• de la qualité du système informatique de traitement et de reporting des informations comptables et financières.

Les établissements de crédit doivent s’assurer de l’exécution dans des délais raisonnables des mesures correctrices préconisées notamment par les dirigeants, le responsable du contrôle, l’audit interne, ainsi que par la structure faîtière d’un réseau d’IFD, le commissaire aux comptes ou la Banque Centrale.

Chaque service ou unité opérationnelle doit être doté d’un manuel de procédures dans lequel sont consignées les modalités d’exécution des opérations qu’il est chargé d’effectuer. Ces procédures doivent être formalisées, mises à jour et diffusés dans chaque service concerné.

Le personnel doit être formé à la bonne mise en œuvre de ces procédures.

Les niveaux d’autorité et de responsabilité, ainsi que les domaines d’intervention des différentes unités opérationnelles, doivent être clairement précisés et délimités dans les procédures.

Une séparation doit être établie entre les unités chargées, chacune en ce qui la concerne, de l’initiation, de la validation, de l’exécution et du contrôle des opérations. Cette organisation doit être adaptée à la taille et aux activités de chaque établissement de crédit.

Les procédures doivent aussi prévoir les délégations de pouvoir formalisées au sein de l’organisation.

Les domaines et situations qui présentent un risque de conflits d’intérêts doivent être identifiés et signalés par le contrôleur interne au dirigeant exécutif avec copie à l’organe délibérant et au comité d’audit. Ils doivent faire l’objet d’une surveillance continue, et d’une évaluation régulière en vue de leur prévention et le cas échéant de leur résolution.

Les cas avérés de conflits d’intérêts impliquant un membre de l’organe exécutif doivent être signalés par le contrôleur interne directement à l’organe délibérant et au comité d’audit

Les cas avérés de conflits d’intérêts doivent être mentionné dans le rapport annuel de contrôle interne.

Le responsable du contrôle interne des établissements de crédit est également chargé du suivi du risque de non-conformité notamment de la déontologie et de la lutte contre le blanchiment d’argent et le financement du terrorisme.

L’organe exécutif élabore une politique de conformité, approuvée par l’organe délibérant.

Chaque établissement de crédit élabore un programme de formation régulière du personnel au respect et à la surveillance des règles déontologiques y compris les règles relatives à la lutte contre le blanchiment d’argent et le financement du terrorisme

Les établissements de crédit, en fonction de la nature, du volume de leurs activités et des risques auxquels ils sont exposés, peuvent mettre en place un comité d’audit rattaché directement au conseil d’administration. Son organisation et son mode de fonctionnement doivent être définis dans la charte d’audit interne.

La charte d’audit interne élaborée par les établissements de crédit doit définir notamment :

• le principe de l’indépendance de l’audit interne ;
• les pouvoirs, les responsabilités et les objectifs de la fonction d’audit interne ;
• les conditions de réalisation de ses travaux ;
• les modalités de communication des résultats de ses missions de contrôle.

La charte d’audit doit être validée par l’organe délibérant et communiquée à la Banque Centrale pour observation et avis si nécessaire.

Les établissements de crédit ayant une taille de bilan supérieure ou égale à un milliard de francs comoriens doivent désigner un responsable de l’audit interne qui doit être rattaché directement à l’organe délibérant et au comité d’audit.

Le responsable de l’audit interne rend compte de l’exercice de sa mission à l’organe délibérant et au comité d’audit, s’il en existe un, afin de l’alerter sur d’éventuelles difficultés rencontrées dans l’exercice de sa mission non résolues par l’organe exécutif. Il rend compte également à l’organe exécutif, à la demande de celui-ci, ou de sa propre initiative.

Pour chaque mission d’audit, l’audit interne consigne les insuffisances relevées dans un rapport écrit et y formule des recommandations pour renforcer les dispositifs de contrôle interne et de gestion des risques.

Les établissements de crédit doivent :

• mettre à la disposition de leur service d’audit et de contrôle interne les moyens nécessaires pour l’accomplissement de leurs missions ;
• s’assurer que l’auditeur et le contrôleur interne ont accès sans restriction à toute information utile pour les besoins de sa mission, notamment aux dossiers, au système informatique, aux données nominatives et aux archives de l’établissement de crédit, de toute entité liée et de ses prestataires externalisés ;
• s’assurer que le périmètre d’intervention de l’audit interne couvre l’ensemble des activités de l’établissement de crédit, y compris externalisées.

L’auditeur interne est chargé d’évaluer, de façon périodique, l’efficacité de la maîtrise des risques, la qualité de l’organisation, l’adéquation des procédures, ainsi que le bon fonctionnement des différents niveaux de contrôle.

Il évalue notamment le dispositif de maîtrise, de mesure et de suivi des risques, y compris les risques opérationnels et en particulier le plan de continuité d’activité.

L’auditeur interne en charge des contrôles périodiques de troisième niveau, tels que définis à l’article 4, alinéa c, du présent règlement, doit :

• s’appuyer sur une cartographie des risques approuvée par l’organe exécutif permettant d’identifier chaque risque significatif encouru par l’établissement de façon à déterminer les priorités d’audit ;
• préparer un plan d’audit triennal couvrant l’ensemble des activités sensibles et prioritaires. Ce plan doit être validé par l’organe exécutif, le cas échéant par le comité d’audit. Il doit être annexé au rapport annuel sur le contrôle interne, communiqué à l’organe délibérant et transmis à la Banque Centrale pour information.

La responsabilité de s’assurer que l’établissement assujetti se conforme à ses obligations au titre du présent règlement incombe à l’organe exécutif et à l’organe délibérant.

L’organe exécutif et l’organe délibérant disposent des informations pertinentes sur l’évolution des risques encourus par l’établissement assujetti. Ils sont tenus d’évaluer et de contrôler périodiquement l’efficacité des politiques, des dispositifs et des procédures mis en place pour se conformer au présent règlement et prendre les mesures appropriées pour remédier aux éventuelles défaillances.

Les établissements de crédit doivent élaborer des états de synthèse adaptés pour la surveillance de leurs opérations, notamment pour l’information de l’organe exécutif, de l’organe délibérant et, le cas échéant, du comité d’audit.

Ces états doivent comporter des informations quantitatives et qualitatives, permettant notamment d’expliciter la portée des mesures utilisées pour évaluer le niveau des risques encourus et fixer les limites.

Au moins deux fois par an, l’organe délibérant procède à l’examen de l’activité et des résultats du contrôle interne sur la base des informations qui lui sont transmises par l’organe exécutif et les responsables du contrôle et de l’audit interne.

L’organe exécutif des établissements de crédit établit annuellement un rapport de contrôle interne selon le format joint en annexe du présent règlement et dans les 90 jours suivant la fin de l’exercice. Ce rapport est adressé à l’organe délibérant et le cas échéant au comité d’audit.

Une copie de ce rapport est adressée à la Banque Centrale un mois après approbation par l’organe délibérant.

Pour les réseaux d’IFD, les rapports établit par le contrôleur interne de chaque caisse affiliée sont remis à la structure faitière dans les formes et délais fixés à l’alinéa ci-dessus. Il appartient à la structure faitière d’établir un rapport consolidé de contrôle interne relatif à l’ensemble du réseau transmis à la Banque Centrale dans les conditions susmentionnées.

Le rapport annuel de contrôle interne comprend notamment, pour les différentes catégories des risques mentionnés dans le présent règlement :

• a) une description des principales actions menées dans le cadre du contrôle et des enseignements qui en ressortent ;
• b) un inventaire des contrôles périodiques réalisées par l’audit interne faisant ressortir les principaux enseignements et, en particulier, les principales insuffisances relevées ainsi qu’un suivi des mesures correctrices prises ;
• c) une description des modifications significatives réalisées dans les domaines du contrôle permanent et périodique en particulier pour prendre en compte l’évolution de l’activité et des risques ;
• d) une description des conditions d’application des procédures mises en place pour les nouvelles activités et les nouveaux produits ;
• g) une annexe recensant les engagements et opérations conclues avec les dirigeants, administrateurs et actionnaires ;
• h) une description à jour de la classification des risques de blanchiment des capitaux et de financement du terrorisme, ainsi qu’une présentation des analyses sur lesquelles cette classification est fondée ;
• i) une description des mesures prises pour assurer la continuité de l’activité et l’appréciation portée sur l’efficacité des dispositifs en place ;
• j) une description des mesures prises pour assurer le contrôle des activités externalisées et des risques éventuels qui en résultent pour l’établissement de crédit.