Titre 3 - Organisation et maîtrise du risque comptable - Le systeme informatique de traitement de l’information
Chapitre 1 - Organisation de la fonction comptable et maîtrise du risque comptable
Art. 25
Les établissements de crédit doivent mettre en place une organisation, un dispositif d’enregistrement et de contrôle comptable, un système de traitement de l’information qui soient adaptés à leur taille, à la nature et à la complexité de leurs activités, permettant :
- a) de s’assurer de la fiabilité et de l’exhaustivité de l’information comptable et financière, qu’elle soit destinée à l’organe exécutif, au comité d’audit, à l’organe délibérant ou aux commissaires aux comptes ;
- b) de s’assurer de l’exactitude, de la conformité et de la disponibilité des informations comptables et financières déclarées à la Banque Centrale ou figurant dans les états publiables en application aux dispositions du chapitre 1 et 2 du titre III de la loi bancaire n° 13-003/AU ;
- c) de vérifier les conditions d’évaluation, d’enregistrement, de conservation et de disponibilité de l’information comptable et financière.
Art. 26
L’organisation comptable des établissements de crédit doit garantir l’existence d’une piste d’audit structurée et formalisée.
Toutes les opérations effectuées par l’établissement de crédit doivent comporter une pièce justificative permettant de s’assurer de la régularité, de la fiabilité et de la sécurité de ces opérations ainsi que du respect des autres diligences liées à la surveillance des risques qui leur sont associés.
Art. 27
L’organisation comptable des établissements de crédit doit permettre de s’assurer de la séparation des tâches qui doivent être assurées sous des responsabilités distinctes.
Au sein de la direction comptable :
- l’enregistrement des écritures comptables doit être dissocié de leur validation ;
- l’élaboration des procédures comptables doit être dissociée de leur approbation ;
- la fonction de contrôle comptable doit être indépendante de la gestion comptable et de la production des états comptables et déclaratifs.
Art. 28
Des manuels de procédures comptables adaptés aux différentes activités exercées par les établissements de crédit doivent être élaborés et tenus à jour. Ces documents doivent notamment décrire les modalités d’enregistrement, de traitement et de restitution des informations comptables et financières, les schémas comptables et les procédures d’engagement des opérations. Ces manuels de procédures doivent garantir la qualité de l’information comptable déclarée à la Banque Centrale.
Art. 29
Les états financiers générés et arrêtés à chaque fin d’exercice, communiqués aux organes de contrôle et à l’organe délibérant, doivent être communicables à première demande. Un dossier d’arrêté des comptes annuels doit être établi pour chaque exercice.
Art. 30
L’organisation comptable doit permettre d’exercer des contrôles permanents et périodiques pour s’assurer du respect des schémas comptables ainsi que de leur conformité aux règles de comptabilisation, telles que mentionnées dans les manuels de procédures et dans les règlements édictés par la Banque Centrale.
Art. 31
Les contrôles comptables permanents doivent être exercés sur l’ensemble des opérations enregistrées dans les livres de l’établissement.
Cette vérification s’opère au premier niveau au moment de la validation de l’opération par la hiérarchie ou par une autre personne habilitée.
Un contrôle comptable permanent de second niveau est exercé par le service de contrôle interne pour s’assurer de la réalisation des contrôles permanents de premier niveau et de la pertinence des schémas et des écritures comptables.
Chapitre 2 - Le système informatique de traitement de l’information
Art. 32
Les institutions financières doivent se doter d’un système d’information lui permettant d’enregistrer l’ensemble des opérations comptables et financières générées au niveau des unités opérationnelles, de les centraliser et de générer des états comptables et financiers de synthèse.
Elles veillent à ce que leur système d’information soit adapté aux besoins inhérents à leurs activités.
Art. 33
Les établissements de crédit doivent désigner un responsable de la sécurité informatique dont les travaux et les activités font l’objet d’un programme de contrôle approuvé par le département du contrôle interne.
Les compétences et le périmètre d’intervention du responsable de la sécurité informatique doivent être explicitement définis et le système informatique doit permettre d’éditer un journal de toutes les interventions du responsable de l’exploitation informatique.
Le responsable de la sécurité informatique doit effectuer des contrôles réguliers pour s’assurer du respect des habilitations de chaque utilisateur du système informatique.
Art. 34
Les établissements de crédit déterminent le niveau de sécurité informatique jugé souhaitable par rapport aux exigences de leurs métiers et de l’environnement de risque opérationnel auquel elles sont exposées.
Ils veillent à ce que le niveau de sécurité retenu soit atteint en permanence.
Ils doivent aussi définir une politique de protection des serveurs, des différents outils servant au traitement informatique des informations.
Art. 35
Des évaluations régulières du système informatique doivent être effectuées en vue de s’assurer que :
- le niveau de sécurité du système est adéquat et que, le cas échéant, les actions correctrices sont entreprises ;
- des procédures de secours informatique sont effectivement disponibles, mises en place et régulièrement testées afin d’assurer la continuité de l’exploitation en cas de difficultés graves dans le fonctionnement des systèmes informatiques ;
- l’intégrité et la confidentialité des informations comptables, financières et nominatives de la clientèle sont préservées en toutes circonstances ;
- la sauvegarde et l’archivage des informations comptables, financières et nominatives de la clientèle sont régulièrement effectués.
