Instruction n° 17 du 14 mai 2019 aux établissements de crédit relative aux règles prudentielles en matière de contrôle interne

Les établissements assujettis déterminent la structure et le dimensionnement de leur système de contrôle interne en fonction du profil des risques, tel que déterminé par l’organe exécutif et approuvé par l’organe délibérant. Ils tiennent compte, dans l’architecture des fonctions de contrôle et dans leur positionnement hiérarchique, des caractéristiques et de la typologie des activités qu’ils exercent.

Les établissements assujettis tiennent compte, le cas échéant, dans l’organisation de leur système de contrôle interne, des normes internes du groupe auquel ils appartiennent, tout en veillant à ce que les dispositions adoptées se conforment à la présente instruction.

De même, les filiales, qu’ils contrôlent de manière exclusive ou conjointe, intègrent dans leur système de contrôle interne les normes qu’ils définissent en vue d’assurer une surveillance efficace des risques sur base consolidée, tout en veillant à la conformité avec les dispositions de la présente instruction.

Le système de contrôle interne est constitué d’un dispositif et des fonctions mis en place par l’organe délibérant et mis en œuvre par l’organe exécutif aux fins de s’assurer de la maîtrise, à tous les niveaux, des activités et opérations de l’établissement assujetti.

Les établissements assujettis sont tenus, conformément aux dispositions visées par la présente instruction, de se doter d’un dispositif de contrôle interne adéquat adapté à la nature et au volume de leurs activités, à leur taille, à leurs implantations et aux risques de différentes natures auxquels ils sont exposés.

Le dispositif de contrôle interne comprend notamment :

• un système permettant de contrôler les opérations et les procédures internes ;
• une organisation de la comptabilisation des opérations et du traitement de l’information pour s’assurer la fiabilité des conditions de collecte, de traitement, de diffusion et de conservation des données comptables et financières ;
• des systèmes permettant de mesurer, de maîtriser et de surveiller les risques et les résultats ;
• un système de documentation et d’information garantissant l’efficacité des canaux de circulation interne de la documentation et de l’information ainsi que de leur diffusion auprès des tiers.

Le dispositif de contrôle interne est élaboré et fonctionne sous la responsabilité de l’organe délibérant et de l’organe exécutif dans les conditions prévues à la partie III de la présente instruction et à l’instruction 21 relative au gouvernement d’entreprise dans les établissements de crédit.

Ce principe de responsabilité demeure d’application constante, y compris lorsqu’une composante du système de contrôle interne est externalisée au niveau supérieur d’un groupe d’appartenance.

Les établissements assujettis sont tenus d’élaborer et tenir à jour des manuels de procédures relatifs à l’ensemble de leurs activités. Ces documents doivent notamment décrire les modalités d’enregistrement, de traitement et de restitution des informations, les procédures d’engagement et de suivi des opérations, les schémas comptables correspondants ainsi que les modalités du reporting.

Chaque service ou unité opérationnelle appartenant au système de contrôle interne doit être doté d’un manuel régulièrement mis à jour dans lequel sont consignées les procédures d’exécution des opérations qu’il est chargé d’effectuer. Ces manuels sont définis par l’organe exécutif, approuvés par l’organe délibérant puis diffusés auprès du personnel.

Les niveaux d’autorité et de responsabilité ainsi que les domaines d’intervention des différentes unités opérationnelles doivent être clairement précisés et délimités. Une séparation stricte doit être établie entre les unités chargées, chacune en ce qui la concerne, de l’initiation, de l’exécution, de la validation, de la comptabilisation et du contrôle des opérations.

Cette indépendance devra être assurée par un rattachement hiérarchique différent ainsi que par des procédures, éventuellement informatiques, qui garantissent une séparation stricte des fonctions. Dans ce cas, l’établissement assujetti doit être en mesure de justifier l’adéquation de ses choix de rattachement et des procédures qu’il mette en œuvre en fonction de sa taille, de ses activités et de son profil des risques.

Les domaines qui présentent des conflits d’intérêts potentiels ou des risques de chevauchement de compétences ou de responsabilités doivent être identifiés, soumis à une surveillance renforcée et faire l’objet d’une évaluation régulière en vue de la résolution de ces conflits.

Les modalités d’exécution des opérations quotidiennement effectuées par les unités opérationnelles doivent comporter des procédures appropriées de contrôles permanents des premier et deuxième niveaux pour s’assurer de la régularité, de la fiabilité et de la sécurité de ces opérations ainsi que du respect des autres diligences liées à la surveillance des risques qui leur sont associés.

Les procédures de contrôle doivent être déterminées en fonction de la typologie et du niveau des risques inhérents aux opérations.

Le système de contrôle des opérations et des procédures doit permettre aux établissements assujettis de s’assurer, dans des conditions optimales de sécurité, de fiabilité et d’exhaustivité, notamment de :

• la conformité des opérations effectuées, de l’organisation et des procédures internes avec les prescriptions légales et réglementaires en vigueur, avec les normes et usages professionnels et déontologiques, ainsi qu’avec les instructions internes de l’organe exécutif prises en application des orientations de l’organe délibérant ;
• le strict respect des politiques et des procédures de décision et de prise de risques, ainsi que des normes de gestion et des limites fixées par l’organe exécutif ;
• la qualité de l’information comptable et financière destinée à l’organe délibérant, à l’organe exécutif, à la Banque centrale du Congo, ou destinée à la publication ;
• les conditions d’évaluation, d’enregistrement, de conservation et de disponibilité de cette information, particulièrement l’existence et la qualité de la piste d’audit ;
• la sécurité et la qualité des systèmes d’information et de communication ;
• l’exécution dans des délais raisonnables des mesures correctives décidées pour remédier aux constats effectués par les diverses fonctions de contrôle interne et de gestion des risques.

Le système de contrôle interne doit s’assurer de la mise en œuvre effective, dans les délais prescrits, des mesures reprises à l’article 11.

Dans ce cadre, l’organe délibérant est responsable de la prise en compte du système des opérations et de procédures internes et l’organe exécutif de leur mise en œuvre.

Le dispositif de contrôle de la comptabilisation des opérations doit permettre aux établissements assujettis de s’assurer de la fiabilité et de l’exhaustivité de l’enregistrement de leurs données comptables et financières et de veiller à la disponibilité de l’information suivant la législation comptable du secteur financier en vigueur.

Les modalités d’enregistrement comptable des opérations dans les états financiers réglementaires et publiés doivent prévoir un ensemble de procédures garantissant la piste d’audit, permettant de :

• reconstituer l’ensemble des opérations selon un ordre chronologique ;
• justifier toute information par une pièce d’origine à partir de laquelle il doit être possible de remonter par un cheminement ininterrompu au document de synthèse et réciproquement ;
• expliquer l’évolution des soldes comptables d’un arrêté à l’autre au moyen de la conservation de l’enregistrement des mouvements ayant affecté les postes comptables.

Toute exception aux principes précédents, quant à la justification d’un solde comptable ou de la publication d’une information, doit faire l’objet d’une justification détaillée, publiée en annexe des états financiers et approuvée par les commissaires aux comptes.

Les informations contenues dans les états comptables et celles nécessaires au calcul des normes de gestion et des ratios prudentiels ainsi que les déclarations périodiques et prudentielles destinées à la Banque centrale du Congo doivent respecter les dispositions de l’article précédent de la présente instruction.

Les titres et autres actifs détenus ou gérés pour le compte de tiers doivent faire l’objet d’un suivi rigoureux, à travers une comptabilité « matière » qui en retrace fidèlement les entrées, les sorties et les existants et qui fait l’objet de contrôles internes et d’inventaires périodiques.

Une distinction doit être faite entre les valeurs reçues en dépôt libre et celles servant de garanties en faveur de l’établissement assujetti lui-même ou de tiers.

Les valeurs affectées en garantie doivent être dûment répertoriées dans le système comptable.

Les établissements assujettis doivent s’assurer de l’exhaustivité, de la qualité, de la fiabilité des informations, des méthodes d’évaluation et de comptabilisation des opérations, notamment par :

• un contrôle régulier de l’adéquation des méthodes et des paramètres retenus pour l’évaluation des opérations ;
• des évaluations régulières du système d’information comptable et de traitement de l’information au regard des principes généraux de prudence, de fidélité, de sincérité et de sécurité ainsi que de la conformité des schémas comptables par rapport aux règles en vigueur ;
• un rapprochement régulier, pour les opérations qui comportent des risques de change ou d’autres risques de marché, entre les résultats calculés par les unités opérationnelles et les résultats comptables obtenus sur la base des règles d’évaluation en vigueur. Tout écart significatif constaté doit être justifié et porté à la connaissance de l’organe exécutif.

Les établissements assujettis doivent conserver l’ensemble des fichiers et de la documentation nécessaire à la justification de leurs soldes comptables depuis la date d’arrêté ayant fait l’objet d’une vérification lors du dernier contrôle sur place de la Banque centrale du Congo, et au moins depuis la date d’arrêté de l’avant-dernier exercice par rapport à l’exercice en cours.

Cette disposition s’applique sans préjudice des autres dispositions légales et réglementaires en vigueur relatives à la conservation des informations.

Les établissements assujettis sont tenus d’établir et tenir à jour une documentation qui précise les dispositifs destinés à assurer le bon fonctionnement du contrôle interne, notamment :

• les différents niveaux de responsabilité ;
• les attributions dévolues et les moyens affectés au fonctionnement des dispositifs de contrôle interne ;
• les règles qui assurent l’indépendance de ces dispositifs dans les conditions prévues par la présente instruction ;
• les procédures relatives à la sécurité des systèmes d’information et de communication et au plan de continuité de l’activité ;
• une description des systèmes de mesure, de limitation, de surveillance et de maîtrise des risques ;
• le mode d’organisation et de fonctionnement du dispositif de contrôle de la conformité.

Le système de documentation doit être organisé de façon à assurer la disponibilité de la documentation, à la demande de l’organe délibérant, de l’organe exécutif, du comité d’audit ou autres comités spécialisés de l’organe délibérant prévus dans l’instruction 21, des commissaires aux comptes et de la Banque centrale du Congo.

Cette documentation est également mise à la disposition des autres comités internes autorisés à y accéder.

Les établissements assujettis, appartenant à un groupe établi en République démocratique du Congo ou à l’étranger, sont tenus de disposer sur place de tous les documents les concernant relatifs aux audits, contrôles procédures ou décisions d’orientation de l’activité ou de la politique de contrôle interne et de gestion des risques, établis au niveau du groupe ou par tout auditeur ou consultant externe.

Les rapports établis à la suite des contrôles périodiques sont communiqués à l’organe exécutif, au comité d’audit et, le cas échéant, à l’organe délibérant à sa demande.

Dans les mêmes conditions, les documents visés à l’article 20 sont transmis aux organes précités.

Ces rapports et documents sont mis à la disposition des commissaires aux comptes et de la Banque centrale du Congo.

Les établissements assujettis doivent définir le niveau de sécurité du système d’information jugé souhaitable par rapport aux exigences de leurs secteurs d’activités. Ils veillent à ce que leurs systèmes d’information soient adaptés aux risques inhérents à leurs opérations et aux caractéristiques de leur organisation et de leurs modes opératoires.

Le contrôle des systèmes d’information doit notamment permettre de s’assurer de :

• l’évaluation périodique, annuellement au minimum, du niveau de sécurité des systèmes d’information et, le cas échéant, de la mise en œuvre des actions correctives pour réduire les risques ;
• l’existence du plan de continuité d’activité et des procédures de relance d’activité informatique ainsi que leur simulation périodique, annuellement au minimum afin d’assurer la continuité de l’exploitation en cas de difficultés graves affectant le fonctionnement des systèmes d’information.

Le contrôle des systèmes d’information s’étend de la conception, la modification, la conservation des informations et à la documentation relative aux analyses, à la programmation, à la modification et à l’exécution des traitements opérationnels.

Les établissements assujettis sont tenus de transmettre immédiatement à l’Autorité de régulation et de contrôle et au comité de concertation et de lutte contre la cybercriminalité toute intrusion ou tentative qui affecte l’intégrité de leur système d’information.

L’organe délibérant évalue, sur proposition de l’organe exécutif, les enjeux informatiques qui pèsent sur l’activité de l’établissement assujetti et approuve les choix opérés pour assurer le fonctionnement approprié ou l’évolution du système d’information, en tenant compte également des cyber-risques, ainsi que les budgets qui y sont alloués.

L’organe délibérant approuve également les choix opérés quant à la sécurité du système d’information, notamment pour en valider les politiques et la communication auprès du personnel.

L’organe délibérant s’assure de la définition par l’organe exécutif des lignes de responsabilité et des objectifs assignés aux responsables des fonctions de développement et de production informatique, ainsi qu’au responsable de la sécurité du système d’information.

Les organes délibérant et exécutif doivent disposer d’informations claires et précises et s’assurer de la qualité et de la pertinence de l’information leur communiquée.

Le contrôle interne de deuxième niveau et l’audit interne doivent s’assurer que :

L’organisation et les moyens mis en œuvre favorisent efficacement la bonne gestion, le bon fonctionnement et la sécurité du système d’information.

Pour ce faire :

• les systèmes d’information doivent être organisés de manière ordonnée et efficace, sur la base de cartographies des applications, des systèmes et des réseaux, en tenant également compte des cyber risques ;
• les nouveaux projets ou équipements doivent être déployés dans les délais, suivant les budgets définis et satisfaire les besoins des utilisateurs ;
• l’exploitation du système d’information doit se réaliser dans des conditions de disponibilité satisfaisante et les incidents minimisés ;
• les systèmes d’information doivent être certifiés conformes aux exigences des référentiels en matière de la sécurité du système d’information et de gouvernante informatique, au moins tous les trois ans ;

Le dispositif de continuité d’activité en place permet la poursuite de l’activité dans des conditions satisfaisantes pour les utilisateurs ;

Le système d’information produit des données fiables facilitant le pilotage adéquat des risques.

La sécurité du système d’information est assurée par un responsable de la sécurité du système d’information, fonction dédiée et indépendante de celle en charge de la gestion de l’exploitation opérationnelle du système d’information. Dans le cas où la taille de l’établissement assujetti ne justifie pas la désignation d’un responsable de la sécurité de l’information attitré, la fonction de gestion des risques assume ce rôle, sous réserve de l’autorisation de la Banque centrale du Congo.

Le responsable de la sécurité informatique s’assure que les enjeux de sécurité informatique sont correctement pris en charge et organisés au sein de l’établissement assujetti et qu’ils donnent lieu à l’édiction de règles internes dont il supervise la mise en pratique. Les évolutions du système d’information, notamment les projets, l’utilisation de nouvelles techniques et l’externalisation, font l’objet systématiquement d’analyses de sécurité qui lui sont soumises, en tenant également compte des cyber-risques.

Par ailleurs, il doit s’assurer que :

• les équipements matériels du système d’information font l’objet d’une protection adéquate contre les risques physiques et logiques, notamment d’intrusion, de modification et de destruction ;
• la gestion des accès et l’authentification des usagers du système d’information sont maitrisées ;
• les données sont protégées en confidentialité par le biais de solution de protection en fonction de leur degré de sensibilité ;
• les mécanismes de détection utilisés pour repérer des actions anormales sur les systèmes et les données sont en place en vue de détecter des agissements potentiels de fraude interne ou externe ;
• la veille technologique par un apprentissage continu notamment concernant la cybersécurité est suivie par l’organe délibérant et l’organe exécutif.

Les établissements assujettis sont tenus de participer au comité de concertation et de lutte contre la cybercriminalité.

Le système de contrôle interne est constitué de trois fonctions complémentaires, non exclusives l’une de l’autre, ci-après :

1) Le contrôle permanent de premier niveau assuré par les préposés opérationnels eux-mêmes ;

2) Le contrôle permanent de deuxième niveau assuré, à posteriori et de façon récurrente, par des équipes dédiées au contrôle de la conformité et de la qualité de la mise en œuvre des processus opérationnels, lesquelles n’exercent pas de fonctions opérationnelles.

Ce contrôle est composé des trois fonctions suivantes :

• la fonction de contrôle permanent des activités opérationnelles ;
• la fonction de conformité ;
• la fonction de gestion des risques.

3) Le contrôle de troisième niveau effectué de manière périodique, sous la responsabilité de l’organe délibérant au travers de son comité d’audit, par une fonction d’audit interne indépendante intervenant sur pièces ou sur place dans le cadre de missions.

Les établissements assujettis assurent une stricte séparation des fonctions de contrôle des premier, deuxième et troisième niveaux.

Les établissements assujettis assurent, au sein du contrôle de deuxième niveau, une stricte séparation entre les fonctions de conformité, de contrôle permanent des activités opérationnelles et de gestion des risques.

Lorsque la taille de l’établissement assujetti ne permet pas de confier la responsabilité de certaines de ces fonctions à des personnes différentes, les établissements assujettis sollicitent une autorisation préalable de la Banque centrale du Congo, conformément à l’instruction 18.

Le contrôle permanent de premier niveau ne peut, en aucun cas, être fusionné avec un autre niveau de contrôle.

Les fonctions de responsable du contrôle permanent de deuxième niveau dans ses trois composantes et celles de responsable du contrôle périodique de troisième niveau doivent être confiées à des cadres de direction de haut niveau, présentant toutes les garanties de moralité, d’honorabilité, de compétence et d’expérience professionnelle.

Leur positionnement hiérarchique dans l’organigramme des établissements assujettis doit leur conférer l’autorité nécessaire pour émettre un avis indépendant vis-à-vis des départements opérationnels.

Les responsables de la conformité, de la gestion des risques et de l’audit interne doivent posséder un rang hiérarchique immédiatement inférieur à la direction générale.

Les établissements assujettis sont tenus de mettre en place dans chaque unité opérationnelle une fonction de contrôle de premier niveau, chargée d’assurer au quotidien le traitement des opérations selon les principes et les procédures définis par la hiérarchie, et de garantir notamment la séparation des fonctions sensibles et le respect de la politique de prise de risque de l’établissement.

Les contrôles de premier niveau sont effectués par :

• les responsables hiérarchiques, en premier lieu ;
• les préposés opérationnels distincts, le cas échéant, sous la forme de contrôles croisés ;
• les équipes opérationnelles elles-mêmes, dans le cadre de leurs activités habituelles afin d’assurer la traçabilité de leurs actions ;
• les fonctionnalités prévues à cet effet de façon automatisée dans les systèmes informatiques de traitement des opérations.

Dans chacun de ces types d’organisation, les processus de contrôle sont organisés pour assurer la séparation des fonctions sensibles, dans les conditions énoncées à l’article 37.

La traçabilité des contrôles de premier niveau doit être assurée.

Le dispositif de contrôle permanent de deuxième niveau des établissements assujettis est organisé en trois fonctions ayant des missions différentes, à savoir :

• le contrôle de deuxième niveau de l’activité opérationnelle ;
• la fonction de conformité ;
• la fonction de gestion des risques.

Dans les établissements assujettis de petite taille, certaines de ces fonctions peuvent être regroupées et confiées à des responsables uniques dans les conditions prévues dans la présente Instruction et dans l’instruction 18 de la Banque centrale du Congo.

Les établissements assujettis sont tenus, selon des modalités adaptées à leur taille, à leur profil des risques et à la nature de leurs activités, de disposer des préposés réalisant des contrôles permanents de deuxième niveau sur l’ensemble des activités opérationnelles et de manière indépendante par rapport aux unités assurant le traitement de ces activités.

(i) De l’organisation

La fonction de contrôle de deuxième niveau de l’activité opérationnelle est confiée à un responsable de haut niveau hiérarchiquement rattaché à l’organe exécutif et bénéficiant d’un lien fonctionnel renforcé avec l’organe délibérant.

Le responsable et les préposés de la fonction de contrôle de deuxième niveau de l’activité opérationnelle doivent disposer de l’expertise appropriée pour contrôler l’ensemble des activités. Ils rendent compte des contrôles effectués au moyen d’états de reporting formalisés, auditables par le contrôle périodique de troisième niveau ou par la Banque centrale du Congo.

Les établissements assujettis appartenant à un groupe peuvent externaliser au sein du même groupe et confier à des fonctions centrales mutualisées des composantes du contrôle permanent de deuxième niveau, à l’exception de la fonction de conformité.

Toutefois, une telle externalisation doit répondre aux conditions suivantes :

• elle ne peut intervenir qu’après l’accord préalable de la Banque centrale du Congo dans les conditions définies par l’instruction 18 ;
• aucune composante de la fonction de contrôle permanent de deuxième niveau ne peut être confiée ni sous-traitée à une entité extérieure au groupe d’appartenance. En outre, au sein du groupe d’appartenance, les fonctions de contrôle sont obligatoirement confiées à des entités bancaires, lesquelles doivent être assujetties à l’autorité de supervision prudentielle de leur pays d’implantation dans des conditions équivalentes à celles qui sont applicables en République démocratique du Congo ;
• chacune des entités à qui est confiée une partie des fonctions de contrôle permanent de deuxième niveau, dans les schémas d’organisation matricielle, doit présenter toutes garanties d’indépendance par rapport aux unités opérationnelles qu’ils contrôlent ;
• le paramétrage et les tests de fonctionnement des systèmes informatiques de surveillance des opérations de l’établissement assujetti doivent être effectués sous le contrôle de son organe exécutif, en prenant en compte son profil des risques. Le programme de contrôle établi en fonction de ce profit avec le concours de l’organe exécutif doit être formalisé et approuvé par l’organe délibérant de l’établissement assujetti ;
• une revue des résultats de l’ensemble des contrôles effectués par les entités externes en charge du contrôle permanent de deuxième niveau est effectuée selon une périodicité rapprochée qui ne peut être supérieure à un mois. L’ensemble de ces résultats doit être disponible sur place sous une forme exploitable pour être mis à disposition, le cas échéant, de la Banque centrale du Congo ;
• l’établissement assujetti doit disposer sur place de toute la documentation, des procédures et des justificatifs des paramétrages relatifs à l’organisation du contrôle permanent de deuxième niveau le concernant. L’ensemble de cette documentation doit être rédigée en langue française ;
• un accès direct et sans restriction aux responsables externes du contrôle permanent de deuxième niveau doit être assuré et organisé par l’établissement assujetti sur simple demande de la Banque centrale du Congo selon les modalités définies par cette dernière.

En cas d’externalisation d’une composante du contrôle permanent de deuxième niveau, la responsabilité de celui-ci demeure pleinement assumée par l’organe délibérant et par l’organe exécutif de l’établissement assujetti, chacun en ce qui le concerne, ou à défaut par un responsable du contrôle interne désigné localement à cet effet et agréé par la Banque centrale du Congo dans les conditions prévues dans l’instruction 18.

(ii) De l’agrément

La nomination du responsable du contrôle de deuxième niveau de l’activité opérationnelle est soumise à l’agrément préalable de la Banque centrale du Congo dans les conditions prévues par l’instruction 18.

La cessation de ses fonctions est portée à la connaissance de la Banque centrale du Congo dans les mêmes conditions.

Le responsable du contrôle de deuxième niveau de l’activité opérationnelle est nommé par l’organe exécutif, après l’accord préalable de l’organe délibérant. Ce dernier doit également approuver, au préalable, la détermination de sa rémunération, sa révocation ou la cessation de ses fonctions.

L’externalisation d’une partie du contrôle de deuxième niveau de l’activité opérationnelle au niveau du groupe d’appartenance requiert l’accord préalable de la Banque centrale du Congo selon les modalités prévues à l’instruction 18.

(iii) Des missions

Le contrôle de deuxième niveau de l’activité opérationnelle s’assure de la bonne exécution des contrôles permanents de premier niveau. Dans ce cadre, il dispose notamment d’outils de surveillance permettant de s’assurer du respect par les unités opérationnelles des procédures d’activité définies par l’organe délibérant et mises en œuvre par l’organe exécutif. Il détermine un programme de contrôles récurrents portant prioritairement sur les processus opérationnels les plus sensibles de l’établissement assujetti, tels que prévus par la cartographie des risques, afin de s’assurer de la rigueur de leur exécution conformément aux procédures approuvées par l’organe délibérant.

La fonction de contrôle de deuxième niveau de l’activité opérationnelle s’assure de la bonne exécution des mesures correctives décidées à la suite des contrôles effectués par ses soins, par le contrôle périodique de troisième niveau et, le cas échéant, par la Banque centrale du Congo.

Les constats effectués par le contrôle de deuxième niveau de l’activité opérationnelle sont formalisés de façon à assurer leur traçabilité et leur audit. Ils sont communiqués aux unités opérationnelles concernées pour leur correction sans délai avec copie à l’organe exécutif. Les rapports de contrôle peuvent également préconiser des recommandations de portée générale destinées à améliorer la qualité des processus opérationnels.

Le responsable de la fonction de contrôle de deuxième niveau de l’activité opérationnelle présente les résultats de ses contrôles à l’organe délibérant au moins deux fois par an, au moyen des états de synthèse adaptés.

En cas de non mise en œuvre persistante d’actions correctives recommandées à l’issue de ses contrôles, il transmet à l’organe exécutif, voire directement à l’organe délibérant, un rapport spécial selon les modalités définies par l’établissement assujetti.

(i) De l’organisation

Les établissements assujettis sont tenus de se doter d’une fonction de contrôle de la conformité, chargée de s’assurer de la conformité de leurs activités aux lois et règlements en vigueur, dont notamment celles afférentes à la lutte contre le blanchiment des capitaux et le financement du terrorisme et la prolifération des armes, ainsi qu’aux règles de déontologie et d’éthique définies par l’organe délibérant. Ces règles doivent être formalisées dans une charte d’éthique ou un Code de déontologie diffusé auprès de l’ensemble du personnel et des membres des organes sociaux.

La fonction de contrôle de la conformité doit répondre aux conditions suivantes :

• être directement rattachée à l’organe exécutif ;
• disposer d’un lien fonctionnel renforcé avec l’organe délibérant. Ce lien s’exerce directement ou par l’intermédiaire du comité d’éthique et de conformité, émanation de l’organe délibérant, constitué et fonctionnant dans les conditions prévues dans la présente instruction et dans l’instruction 21 ;
• coordonner la gestion du risque de non-conformité au sein de l’établissement assujetti ;
• être indépendante des unités opérationnelles et exclusives de l’exercice de toute autre fonction au sein de l’établissement assujetti.

Lorsque l’établissement assujetti est de petite taille et son profil de risque le justifie, le responsable du contrôle de deuxième niveau de gestion des risques, sous réserve de l’accord de la Banque centrale du Congo, peut assumer la responsabilité de la fonction de contrôle de la conformité.

L’externalisation de la responsabilité de la fonction conformité à un tiers n’étant pas autorisée, l’établissement assujetti peut toutefois recourir à l’expertise ou aux moyens techniques fournis par une entité tierce. Il peut établir, le cas échéant, un lien fonctionnel avec la fonction de contrôle de la conformité du groupe dont il relève, sous réserve de l’accord préalable de la Banque centrale du Congo.

Le responsable et les préposés en charge de la fonction de contrôle de la conformité doivent posséder un niveau élevé de compétence dans le domaine des activités bancaires et financières et une connaissance approfondie des règles et normes en vigueur.

Dans le cadre de la fonction de la conformité, l’organe délibérant a pour rôles notamment de :

• déterminer les principes de la politique de conformité auxquels l’établissement assujetti doit adhérer dans l’exercice de ses activités ;
• nommer les membres du comité d’éthique et de conformité ;
• veiller à la mise en place, par l’organe exécutif, d’une fonction de contrôle de la conformité et promouvoir l’adhésion de tout le personnel, à tous les niveaux de l’organisation, à l’égard de la conformité au sein de l’établissement assujetti ;
• approuver la politique et la charte de conformité, la politique et la charte d’éthique, les principes et le Code de déontologie arrêtés par l’organe exécutif  ;
• évaluer annuellement la gestion du risque de non-conformité de l’établissement assujetti et ce, sur la base des rapports spécifiques établis par l’organe exécutif.

Le comité d’éthique et de conformité est composé d’au moins trois administrateurs n’appartenant pas au comité d’audit.

Il se réunit au moins trois fois par an.

Le président du comité d’éthique et de conformité ne peut cumuler cette fonction avec celle du comité d’audit ou du comité des risques, sauf en cas de fusion avec ce dernier.

Le comité d’éthique et de conformité a pour rôles notamment de :

• superviser et contrôler la fonction de contrôle de la conformité ;
• s’assurer de la conformité des activités de l’établissement assujetti au regard du cadre législatif, réglementaire et administratif en vigueur ;
• examiner les échanges de correspondances entre l’établissement assujetti et les autorités de tutelle ;
• émettre des avis sur le projet de Code de déontologie de l’établissement assujetti, ainsi que tout autre document concernant la politique d’éthique et de conformité élaborés par l’organe exécutif ;
• examiner les rapports des contrôles internes réalisés pour s’assurer de la bonne exécution de la politique susmentionnée ;
• examiner les alertes exercées par le personnel usant de leur droit d’alerte en matière de conformité, ainsi que les rapports produits par la fonction de contrôle de la conformité ;
• donner son avis préalable pour tout projet d’exercice d’activités à l’étranger et de mise en place des nouveaux produits.

L’organe exécutif a pour rôles notamment de :

• mettre en place une fonction de contrôle de la conformité et en désigner le responsable, après avis conforme de l’organe délibérant ;
• élaborer et soumettre à l’approbation de l’organe délibérant la politique et le Code d’éthique et de conformité et veiller à leur mise en œuvre ;
• s’assurer en permanence de l’adéquation de la politique de contrôle de la conformité par rapport à la taille de l’établissement assujetti ainsi qu’à la nature, au volume, à la sensibilité aux risques et à la complexité de ses activités. Il vérifie également la mise en application et le respect de cette politique et prend, sans délai, les mesures correctives nécessaires pour redresser les insuffisances relevées par la fonction de contrôle de la conformité ou par l’audit interne ;
• tenir l’organe délibérant informé sur les risques de non-conformité encourus.

Le lien fonctionnel renforcé qui doit être instauré entre le responsable de la fonction de contrôle de la conformité et l’organe délibérant implique l’accord préalable de ce dernier pour les décisions suivantes :

• la nomination du responsable de la fonction de contrôle de la conformité ;
• la détermination de la rémunération du responsable de la fonction de contrôle de la conformité ;
• la révocation ou la cessation des fonctions du responsable de la fonction de contrôle de la conformité.

Le responsable du contrôle de la conformité est tenu de disposer, au travers du comité d’éthique et de conformité, d’un accès direct à l’organe délibérant, à qui il rend compte régulièrement sur toute opération spécifique appelant une information de l’organe délibérant, notamment en cas de divergence d’appréciation avec l’organe exécutif.

(ii) De l’agrément

La nomination du responsable de contrôle de la conformité est soumise à l’agrément préalable de la Banque centrale du Congo, dans les conditions prévues à l’instruction 18.

La révocation du responsable de contrôle de la conformité ne peut intervenir si ce dernier a exercé ses fonctions de bonne foi.

Toute révocation du responsable de contrôle de la conformité doit faire l’objet d’une information à la Banque centrale du Congo appuyée par un dossier justifiant les motifs de ladite mesure. La révocation ne peut intervenir qu’après l’avis conforme de l’organe délibérant, après avoir recueilli l’avis du comité d’audit et du comité d’éthique et de conformité.

En cas de révocation abusive au mépris des dispositions des alinéas 2 et 3 du présent article et en violation du Code du travail, l’établissement assujetti s’expose aux sanctions prévues par les textes légaux et réglementaires en vigueur.

(iii) Des missions

La politique de contrôle de la conformité doit :

• comporter notamment les aspects fondamentaux du risque de non-conformité ;
• expliquer les principes fixés par l’organe délibérant ;
• définir le rôle et les objectifs de la fonction de contrôle de la conformité et ;
• mettre en place un programme de formation continue du personnel et des dirigeants.

Cette politique doit prévoir également l’élaboration d’une charte de conformité qui :

• expose les objectifs de la fonction de contrôle de la conformité, en établit l’indépendance et en définit les responsabilités et les compétences ;
• décrit les relations avec les autres fonctions en charge du contrôle permanent de l’activité opérationnelle et de la gestion des risques ainsi qu’avec l’audit interne ;
• accorde à la fonction de contrôle de la conformité le droit d’accès à toute information nécessaire à l’exécution de ses missions ;
• confère à la fonction de contrôle de la conformité le droit de diligenter toute investigation nécessaire ;
• établit les modalités permettant de rendre compte à l’organe exécutif, aux membres du comité d’audit et du comité d’éthique et de conformité ainsi qu’à l’organe délibérant ;
• définit les modalités et les conditions dans lesquelles cette fonction peut recourir, en cas de besoin, à des experts externes.

Le responsable de la fonction de contrôle de la conformité est notamment responsable des missions suivantes :

• le recensement des normes en vigueur régissant t’exercice des activités de l’établissement assujetti. Ces normes doivent être communiquées à l’ensemble du personnel concerné ;
• l’identification du risque de non-conformité encouru par l’établissement assujetti et son évaluation afin de déterminer l’importance ainsi que les conséquences qui en découlent. Elle établit des procédures de :
• contrôle de la conformité des opérations réalisées par rapport aux règles et normes en vigueur ;
• identification et mesure du risque de non-conformité inhérent à tout nouveau type d’activité, de produit, de clientèle ou de transformation importante sur des produits existants, ainsi qu’aux opérations exceptionnelles ;
• suivi permanent des modifications ou changements pouvant intervenir dans les textes applicables aux opérations effectuées par l’établissement assujetti ;
• la formalisation des procédures et des instructions pour la mise en œuvre de la politique de conformité ;
• l’examen pour avis des échanges de correspondances entre l’établissement assujetti et les autorités de tutelle ;
• la coordination de la mise en œuvre du dispositif de lutte contre le blanchiment des capitaux, le financement du terrorisme et la prolifération des armes.

La fonction de contrôle de la conformité veille à ce que l’établissement assujetti dispose de normes régissant l’exercice des opérations quotidiennes de l’ensemble de ses activités. Ces normes doivent faire partie intégrante des instructions, des procédures opérationnelles et de contrôle interne pour les domaines relevant directement de la conformité.

La fonction de contrôle de la conformité est également impliquée, pour les activités qui ne relèvent pas directement de la conformité, lors de la préparation et de la mise en application de procédures opérationnelles et de contrôle interne, notamment :

• la vérification régulière du respect de la politique, des procédures et des instructions en matière de conformité. Elle met également en place des indicateurs permettant d’analyser et de suivre les problèmes détectés ainsi que de recommander les mesures correctives à prendre ;
• la centralisation de toutes les informations sur les problèmes et dysfonctionnements relevés par rapport aux normes en vigueur. Dans le cas où l’établissement assujetti appartient à un groupe, ces procédures doivent couvrir les modalités de centralisation des informations émanant du groupe ;
• la sensibilisation et la formation de l’ensemble de son personnel, y compris les dirigeants, sur l’importance et les procédures de contrôle de la conformité relatives aux opérations qu’il effectue.

La fonction de contrôle de la conformité doit documenter les travaux effectués conformément aux responsabilités assignées, notamment afin de retracer des interventions ainsi que des observations retenues.

Elle rapporte à l’organe exécutif et, le cas échéant, à l’organe délibérant, aux comités d’audit et d’éthique et de conformité, les problèmes et dysfonctionnements constatés au niveau des procédures, de la politique de conformité, ainsi que les mesures prises à cet égard.

Elle doit également communiquer ces dysfonctionnements à l’audit interne.

La fonction de contrôle de la conformité doit émettre un avis conforme préalable à tout lancement de nouveau produit, de nouvelle activité, de toute modification substantielle dans la politique de commercialisation d’une ligne de produit ou de toute entrée sur un nouveau marché. Les opérations exceptionnelles d’acquisition ou de cession d’actif doivent également faire l’objet d’un avis conforme préalable de la conformité.

En cas de non prise en compte d’un avis négatif de la conformité, le responsable de la conformité est tenu d’informer l’organe exécutif, voire directement l’organe délibérant. Ce dernier établit un rapport annuel prévu dans la présente instruction dans lequel il est fait mention de cet avis et de la suite y réservée.

La fonction de contrôle de la conformité est tenue de disposer de procédures de centralisation de toutes les informations sur les problèmes et dysfonctionnements relevés par rapport aux normes en vigueur.

Dans le cas où l’établissement assujetti appartient à un groupe, ces procédures doivent couvrir les modalités de centralisation des informations à destination de celui-ci.

La fonction de contrôle de la conformité est tenue d’exercer une surveillance sur les actions entreprises afin de résoudre les problèmes de non-conformité identifiés.

En cas d’alerte aux organes exécutif et délibérant, demeurée sans suite, sur une opération susceptible de faire encourir un risque grave à l’établissement assujetti, le responsable de la fonction de contrôle de la conformité est tenu d’informer directement, et par toutes voies de droit, la Banque centrale du Congo de la situation rencontrée. Ce responsable ne peut être sanctionné en cas de transmission de bonne foi d’une alerte fondée sur des éléments justifiés.

Les activités de la fonction de contrôle de la conformité doivent être incluses dans le champ d’intervention du contrôle de deuxième niveau de l’activité opérationnelle et du contrôle périodique de troisième niveau.

Le contrôle permanent de l’activité opérationnelle et l’audit interne doivent communiquer au responsable de la conformité les dysfonctionnements relatifs au risque de non-conformité relevés dans le cadre de leurs missions de contrôle.

L’établissement assujetti est tenu de mettre en place une procédure d’alerte du personnel vers le responsable de la conformité.

Cette procédure est destinée à signaler les infractions à la législation ou à la réglementation commises par l’établissement assujetti, lorsque l’information, par la voie hiérarchique, est inopérante ou impossible.

Elle doit prévoir l’anonymat des agents ayant lancé les alertes et qu’en cas de non-anonymat, l’auteur d’une alerte émise de bonne foi et selon les modalités prévues ci-dessus ne peut être sanctionné ni encourir des mesures préjudiciables.

Lorsque le responsable de la conformité ne donne pas suite à l’alerte lancée par un agent, ce dernier peut directement saisir l’organe délibérant, au travers du comité d’éthique et de conformité, le cas échéant, dans les mêmes conditions de protection du lanceur d’alerte.

Le responsable de la conformité est tenu d’établir, au moins une fois par an, un rapport sur ses activités qu’il adresse à l’organe exécutif. Ce dernier transmet ledit rapport à l’organe délibérant, aux comités d’audit et d’éthique et de conformité.

Ce rapport contribue à l’élaboration du rapport annuel de contrôle interne, dont le canevas est porté à la connaissance des établissements assujettis suivant les dispositions de l’article 83 de la présente instruction.

Il comprend notamment :

• une évaluation des risques de non-conformité et du respect par l’établissement assujetti des normes qu’il s’est fixées à cet égard ;
• une information relative aux principaux dysfonctionnements relevés ;
• la liste des alertes reçues dans le cadre de l’exercice du droit d’alerte du personnel, de la part des entités de contrôle interne ou des services opérationnels, et des alertes transmises éventuellement à la Banque centrale du Congo ;
• la description des mesures correctives engagées et des réformes des processus mis en œuvre le cas échéant.

Les établissements assujettis sont tenus de mettre en place des systèmes d’analyse, de mesure, de surveillance et de maitrise de l’ensemble des risques de différentes natures auxquelles les exposent leurs activités et s’assurer notamment de :

• l’évaluation correcte et la maîtrise des risques de crédit, de change et autres risques de marché, opérationnels, de taux d’intérêt, de liquidité, de blanchiment des capitaux et de financement de terrorisme ainsi que les risques liés aux activités externalisées ;
• la mise en place des processus, d’une part, d’évaluation de l’adéquation globale des fonds propres réglementaires au regard de ces risques et, d’autre part, de prévision des besoins de liquidité qui tiennent compte des tendances et des cycles affectant la liquidité.

Une fonction indépendante dédiée à la gestion des risques doit être constituée pour coordonner l’organisation et le fonctionnement de ces systèmes.

Les modalités détaillées du système de gestion des risques sont décrites dans l’Instruction 22.

Le contrôle de troisième niveau ou contrôle périodique est assuré par une fonction indépendante en charge de l’audit interne, lequel a pour mission de vérifier notamment la conformité des opérations, la maîtrise des risques encourus, le respect des procédures et de la réglementation, l’efficacité et la conformité des dispositifs de surveillance et de gestion des risques, ainsi que tout autre sujet se rapportant à l’activité de l’établissement assujetti et de ses filiales.

Ce contrôle périodique s’effectue au travers des missions de contrôle sur place.

L’audit interne est rattaché fonctionnement au comité d’audit, composé exclusivement d’administrateurs non exécutifs, dont ceux indépendants, de l’établissement assujetti.

Ce comité rend compte directement à l’organe délibérant qui en détermine les modalités de fonctionnement. Son rôle ne peut en aucun cas se substituer à celui de l’audit interne.

Le comité d’audit ne peut être présidé que par un administrateur indépendant.

La présidence du comité d’audit ne peut être assurée par le président de l’organe délibérant.

Le président du comité d’audit ne peut cumuler cette fonction avec celle d’autres comités spécialisés de l’organe délibérant.

Les membres du comité d’audit doivent disposer de l’expérience, de l’honorabilité et des compétences requises dans les domaines financier et comptable ainsi que dans les activités de l’audit.

Le comité d’audit tient, au moins, quatre réunions par an. Il peut associer à ses travaux les responsables des fonctions de contrôle interne et de gestion des risques, ainsi que les commissaires aux comptes de l’établissement assujetti, et convoquer à ces travaux, toute personne utile.

En application de la charte d’audit ou de la charte de contrôle interne approuvée par l’organe délibérant, le comité d’audit a notamment pour attributions de :

• superviser et contrôler les fonctions de contrôle interne ;
• approuver les programmes annuels ou pluriannuels du contrôle permanent de deuxième niveau et de l’audit interne ;
• s’assurer de la couverture complète des activités de l’établissement assujetti par les contrôles internes et les audits internes ou externes ;
• s’assurer que l’ensemble des activités de l’établissement assujetti est vérifié par l’audit interne selon un cycle dont la durée ne peut excéder trois ans, ajustable en fonction du profil de risque ;
• s’assurer de l’adéquation du système de contrôle interne aux activités de l’établissement assujetti ;
• apprécier l’adéquation des ressources humaines et des moyens matériels alloués aux fonctions de contrôle interne ;
• s’assurer que les contrôleurs et auditeurs internes possèdent les compétences nécessaires et proposer éventuellement les mesures de renforcement de leur expertise ;
• porter une appréciation sur la qualité du système de contrôle interne, notamment la cohérence des dispositifs d’identification, d’analyse, de mesure, de surveillance et de maîtrise des risques et proposer, le cas échéant, des actions correctives idoines ;
• vérifier la fiabilité et l’exactitude des informations financières destinées à l’organe délibérant, à la Banque centrale du Congo et aux tiers, et porter une appréciation sur la pertinence des méthodes comptables adoptées pour l’élaboration des comptes individuels et consolidés ;
• évaluer la pertinence des mesures correctives prises ou proposées pour combler les lacunes ou insuffisances décelées dans le traitement des opérations, à la suite des rapports de contrôle ou d’audit, le cas échéant, dans le système de contrôle interne ;
• veiller à la mise en œuvre effective et rapide des mesures correctives recommandées par les fonctions de contrôle et d’audit et, le cas échéant, alerter l’organe délibérant ou directement la Banque centrale du Congo en cas de non mise en œuvre ;
• valider le choix des commissaires aux comptes et des auditeurs externes de l’établissement assujetti, et superviser leurs relations avec celui-ci ;
• prendre connaissance des rapports d’activité et des recommandations des fonctions de contrôle interne et de gestion des risques, des commissaires aux comptes, des auditeurs externes et de la Banque centrale du Congo ainsi que des mesures correctives prises.

Le responsable de l’audit interne dispose d’un accès direct à l’organe délibérant et au comité d’audit, auxquels il rend compte régulièrement.

La nomination du responsable de l’audit interne est soumise à l’agrément préalable de la Banque centrale du Congo, conformément aux dispositions de l’instruction 18.

Le responsable de l’audit interne est nommé par l’organe exécutif, après l’accord préalable de l’organe délibérant. Ce dernier doit également approuver préalablement sa rémunération.

La révocation du responsable de l’audit interne est soumise à l’approbation préalable de l’organe délibérant. Cette décision est communiquée à la Banque centrale du Congo appuyée par un dossier justifiant les motifs de la révocation.

Lorsque l’établissement assujetti appartient à un groupe, une partie de l’activité de l’audit interne peut être externalisée au sein du groupe et confiée à des pôles d’excellence, selon les modalités prévues à l’instruction 18.

L’établissement assujetti peut également faire appel à un auditeur externe, lequel doit présenter toutes les garanties d’expertise et d’indépendance par rapport aux unités opérationnelles à contrôler, afin de concourir à certaines missions d’audit interne.

L’auditeur externe ne peut être lié en aucun titre avec les membres de l’organe exécutif, de l’organe délibérant ou du comité d’audit, ni aux personnes qui leur sont liées. Dans ce cas, ce dernier ne peut assurer simultanément les fonctions de commissaire aux comptes dans l’établissement assujetti, et ce pendant une durée de trois années à l’issue des missions réalisées.

Dans les deux cas, cette démarche requiert l’autorisation préalable de la Banque centrale du Congo.

En cas d’externalisation, le responsable de la fonction de l’audit interne demeure au sein de l’établissement assujetti et élabore le cycle général de contrôle et le programme pluriannuel de contrôle de l’établissement assujetti qu’il soumet à l’approbation du comité d’audit suivant sa charte et conformément aux termes de l’Instruction 22.

L’ensemble de la documentation relative aux audits et à leur exécution doit demeurer disponible sur place et exploitable au sein de l’établissement assujetti.

L’audit interne est tenu de procéder à des contrâtes périodiques. Il doit notamment :

• proposer un plan d’audit annuel ou pluriannuel approuvé par le comité d’audit et la répartition de ses ressources en conséquence ;
• s’appuyer, pour la réalisation de ses missions, sur une méthodologie permettant d’identifier les risques significatifs encourus par l’établissement assujetti ;
• disposer de ressources suffisantes, d’outils et d’effectifs en rapport avec les activités à auditer et le profit de risques qu’elles présentent ;
• s’assurer de la formation appropriée et de l’expertise des auditeurs pour comprendre et évaluer les activités à auditer ;
• formaliser et restituer les conclusions de chacune de ses missions dans un rapport écrit faisant l’objet d’un échange contradictoire avec les entités auditées à communiquer, dans le meilleur délai, au comité d’audit et à l’organe exécutif ;
• formuler des recommandations et en assurer la mise en œuvre effective selon des procédures de suivi structurées ;
• accéder, pour les besoins de sa mission, aux archives, aux dossiers, aux données et à toute information utile et nécessaire, sans restriction et sous quelque forme que ce soit.

Lorsque l’établissement assujetti appartient à un groupe, l’audit interne doit accéder à toute information utile et nécessaire à l’exercice de sa mission, quel que soit le lieu où cette information est localisée.

L’audit interne est chargé d’évaluer, de façon périodique, l’efficacité des processus de gestion des risques et de la gouvernance, des procédures et des politiques internes ainsi que le bon fonctionnement des différents niveaux de contrôle.

Il évalue également, et de manière non limitative :

• le processus de communication financière ainsi que la fiabilité et l’exactitude des informations communiquées à la Banque centrale du Congo et aux tiers ;
• les dispositifs d’identification, d’analyse, de mesure, de suivi et de la maîtrise des risques mis en œuvre par la fonction de gestion des risques ;
• les procédures internes d’évaluation de l’adéquation des fonds propres par rapport à l’ensemble de risques significatifs de l’établissement assujetti ;
• les modalités de la gestion de la continuité de l’activité au sein de l’établissement assujetti ;
• les contrôles effectués par la fonction de contrôle de la conformité et par la fonction de contrôle de deuxième niveau de l’activité opérationnelle.

Le responsable de l’audit interne rend compte de l’exercice de sa mission à l’organe exécutif, à l’organe délibérant via le comité d’audit.

Il informe l’organe délibérant et le comité d’audit des insuffisances relevées, des recommandations formulées pour renforcer les dispositifs de contrôle interne et de gestion des risques et de leur mise en œuvre par l’organe exécutif et les services opérationnels.

Il effectue le suivi de la mise en œuvre des mesures correctives faisant l’objet de ses recommandations.

En cas de non-exécution persistante de mesures correctives décidées en application de recommandations acceptées figurant dans un rapport d’audit, le responsable de l’audit interne informe directement et de sa propre initiative l’organe délibérant et le comité d’audit.

La Banque centrale du Congo a le pouvoir d’entrer en contact directement avec le responsable de l’audit interne en vue d’obtenir toute information utile à l’exercice de ses missions.

Le responsable de l’audit interne informe, en outre, le responsable de la conformité de toute insuffisance constatée liée à la gestion du risque de non-conformité.