J.O. 83 du 9 avril 2005
J.O. disponibles
Alerte par mail
Lois,décrets
codes
AdmiNet
Ce document peut également être consulté sur le site officiel Legifrance
Arrêté du 31 mars 2005 modifiant le règlement du Comité de la réglementation bancaire et financière n° 97-02 du 21 février 1997 relatif au contrôle interne des établissements de crédit et des entreprises d'investissement
NOR : ECOT0514472A
Le ministre de l'économie, des finances et de l'industrie,
Vu le code monétaire et financier, et notamment ses articles L. 611-1 et suivants ;
Vu le titre II du code de commerce et le décret no 83-1020 du 29 novembre 1983 modifié pris en application de la loi no 83-353 du 30 avril 1983 et relatif aux obligations comptables des commerçants ;
Vu la loi no 2003-706 du 1er août 2003 de sécurité financière, et notamment ses articles 46 et 47 ;
Vu le règlement du Comité de la réglementation bancaire no 90-02 du 23 février 1990 modifié relatif aux fonds propres ;
Vu le règlement du Comité de la réglementation bancaire no 92-13 du 23 décembre 1992 modifié relatif à la fourniture de services bancaires en France par des établissements ayant leur siège social dans les autres Etats membres des Communautés européennes ;
Vu le règlement du Comité de la réglementation bancaire no 93-05 du 21 décembre 1993 modifié relatif au contrôle des grands risques ;
Vu le règlement du Comité de la réglementation bancaire no 95-02 du 21 juillet 1995 modifié relatif à la surveillance prudentielle des risques de marché ;
Vu le règlement du Comité de la réglementation bancaire et financière no 97-02 du 21 février 1997 modifié relatif au contrôle interne des établissements de crédit et des entreprises d'investissement ;
Vu le règlement du Comité de la réglementation bancaire et financière no 2000-03 du 6 septembre 2000 modifié relatif à la surveillance prudentielle sur base consolidée ;
Vu l'avis de l'Autorité des marchés financiers en date du 22 février 2005 ;
Vu l'avis favorable du comité consultatif de la législation et de la réglementation financières no 2005-37 en date du 25 février 2005, Arrête :
Article 1
Les articles 1er à 46 du règlement no 97-02 susvisé sont remplacés par les dispositions suivantes :
« TITRE Ier
« PRINCIPES ET DÉFINITIONS
« Art. 1er. - Les entreprises assujetties au présent règlement sont :
« - les établissements de crédit ;
« - les entreprises d'investissement mentionnées à l'article L. 531-4 du code monétaire et financier susvisé autres que les sociétés de gestion de portefeuille mentionnées à l'article L. 532-9 du même code ;
« - les entreprises mentionnées aux points 3 et 4 de l'article L. 442-2 du code monétaire et financier ;
« - les entreprises mentionnées aux points 4 et 5 de l'article L. 542-1 du code monétaire et financier.
« Sans préjudice des dispositions du règlement général et des décisions de l'Autorité des marchés financiers, les entreprises assujetties doivent se doter d'un contrôle interne dans les conditions prévues par le présent règlement.
« Ce contrôle interne comprend notamment :
« a) Un système de contrôle des opérations et des procédures internes ;
« b) Une organisation comptable et du traitement de l'information ;
« c) Des systèmes de mesure des risques et des résultats ;
« d) Des systèmes de surveillance et de maîtrise des risques ;
« e) Un système de documentation et d'information ;
« f) Un dispositif de surveillance des flux d'espèces et de titres.
« Les entreprises assujetties veillent à mettre en place un contrôle interne adéquat en adaptant l'ensemble des dispositifs prévus par le présent règlement à la nature et au volume de leurs activités, à leur taille, à leurs implantations et aux risques de différentes natures auxquels elles sont exposées.
« Art. 2. - Les entreprises assujetties surveillées sur une base consolidée veillent à :
« a) Mettre en oeuvre les moyens nécessaires pour s'assurer du respect, au sein des entreprises contrôlées de manière exclusive ou conjointe au sens du règlement no 2000-03 susvisé, des diligences liées à l'application du présent règlement ;
« b) S'assurer que les systèmes mis en place, au sein de ces entreprises, sont cohérents entre eux afin de permettre une mesure, une surveillance et une maîtrise des risques encourus au niveau consolidé ;
« c) Vérifier l'adoption, au sein de ces entreprises, de procédures adéquates pour la production des informations et renseignements utiles aux fins de l'exercice de la surveillance sur une base consolidée.
« Les entreprises assujetties veillent à ce que les moyens, les systèmes et les procédures mentionnés aux points a, b et c ci-dessus soient adaptés à l'organisation du groupe ainsi qu'à la nature des entreprises contrôlées.
« Le présent article s'applique aux compagnies financières dont la Commission bancaire assure la surveillance conformément à l'article 3 du règlement no 2000-03 susvisé.
« Art. 3. - Lorsqu'une entreprise assujettie est affiliée à un organe central, le contrôle interne de cette entreprise est organisé en accord avec l'organe central.
« Art. 4. - Pour l'application du présent règlement, on entend par :
« a) Organe exécutif : les personnes qui, conformément aux articles L. 511-13 et L. 532-2, point 4, du code monétaire et financier susvisé, assurent la détermination effective de l'orientation de l'activité de l'entreprise ainsi que les personnes qui assurent les mêmes fonctions au sein des entreprises mentionnées aux points 3 et 4 de l'article L. 442-2 et aux points 4 et 5 de l'article L. 542-1 du code monétaire et financier.
« b) Organe délibérant :
« - le conseil d'administration, le conseil de surveillance ou l'assemblée des associés pour les sociétés régies par le code de commerce susvisé ;
« - le conseil d'administration pour les caisses de crédit agricole, pour les banques populaires et les sociétés de caution mutuelle et pour les caisses de crédit mutuel ;
« - le conseil d'orientation et de surveillance pour les caisses d'épargne et les caisses de crédit municipal ;
« - le conseil d'administration ou le conseil de surveillance pour les autres établissements publics ;
« - le conseil d'administration, le conseil de surveillance ou l'organisme collégial qui a notamment la charge de surveiller, pour le compte des apporteurs de capitaux, la gestion et la situation de l'entreprise dans le cas des entreprises ayant une autre forme juridique ;
« c) Comité d'audit : un comité qui peut être créé par l'organe délibérant pour l'assister dans l'exercice de ses missions.
« L'organe délibérant choisit la dénomination du comité d'audit et en définit la composition, les missions, les modalités de fonctionnement ainsi que les conditions dans lesquelles les commissaires aux comptes ainsi que toute personne appartenant à l'entreprise sont associés à ses travaux.
« Le comité d'audit est notamment chargé, sous la responsabilité de l'organe délibérant, de :
« - vérifier la clarté des informations fournies et porter une appréciation sur la pertinence des méthodes comptables adoptées pour l'établissement des comptes individuels et, le cas échéant, consolidés ;
« - porter une appréciation sur la qualité du contrôle interne, notamment la cohérence des systèmes de mesure, de surveillance et de maîtrise des risques et proposer, en tant que de besoin, des actions complémentaires à ce titre ;
« d) Opérations de crédit : l'ensemble des opérations mentionnées à l'article L. 313-1 ainsi que les opérations connexes mentionnées à l'article L. 321-2, point 2, du code monétaire et financier susvisé, respectivement applicables aux établissements de crédit et aux entreprises d'investissement, et effectuées avec toute personne, y compris avec d'autres entreprises assujetties ;
« e) Risque de crédit : le risque encouru en cas de défaillance d'une contrepartie ou de contreparties considérées comme un même bénéficiaire au sens de l'article 3 du règlement no 93-05 susvisé ;
« f) Risques de marché, y compris le risque de change : les risques définis à l'article 2.2 et aux annexes II à V-2 du règlement no 95-02 susvisé ;
« g) Risque de taux d'intérêt global : le risque encouru en cas de variation des taux d'intérêt du fait de l'ensemble des opérations de bilan et de hors-bilan, à l'exception, le cas échéant, des opérations soumises aux risques de marché mentionnés au f ci-dessus ;
« h) Risque de liquidité : le risque pour l'entreprise assujettie de ne pas pouvoir faire face à ses engagements ou de ne pas pouvoir dénouer ou compenser une position en raison de la situation du marché ;
« i) Risque de règlement : le risque encouru au cours de la période qui sépare le moment où l'instruction de paiement ou de livraison d'un instrument financier vendu ne peut plus être annulée unilatéralement et la réception définitive de l'instrument financier acheté ou des espèces correspondantes ;
« j) Risque opérationnel : le risque résultant d'une inadaptation ou d'une défaillance imputable à des procédures, personnels et systèmes internes ou à des événements extérieurs ;
« k) Risque juridique : le risque de tout litige avec une contrepartie, résultant de toute imprécision, lacune ou insuffisance susceptible d'être imputable à l'entreprise au titre de ses opérations ;
« l) Perte potentielle maximale : la mesure de l'impact le plus défavorable sur les résultats de variations des conditions de marché intervenant sur une période donnée et avec un niveau de probabilité déterminé ;
« m) Risque d'intermédiation : le risque de défaillance d'un donneur d'ordres ou d'une contrepartie à l'occasion d'une transaction sur instruments financiers dans laquelle l'entreprise assujettie apporte sa garantie de bonne fin ;
« n) Plan de continuité de l'activité : ensemble de mesures visant à assurer, selon divers scénarios de crises, y compris face à des chocs extrêmes, le maintien, le cas échéant de façon temporaire selon un mode dégradé, des prestations de services essentielles de l'entreprise puis la reprise planifiée des activités ;
« o) Moyens de paiement : moyens de paiement au sens de l'article L. 311-3 du code monétaire et financier susvisé autres que la monnaie fiduciaire ;
« p) Risque de non-conformité : le risque de sanction judiciaire, administrative ou disciplinaire, de perte financière significative ou d'atteinte à la réputation, qui naît du non-respect de dispositions propres aux activités bancaires et financières, qu'elles soient de nature législatives ou réglementaires, ou qu'il s'agisse de normes professionnelles et déontologiques, ou d'instructions de l'organe exécutif prises notamment en application des orientations de l'organe délibérant ;
« q) Activités externalisées : les activités pour lesquelles l'entreprise assujettie confie à un tiers, de manière durable et à titre habituel, la réalisation de prestations de services essentielles par sous-traitance au sens de la loi no 75-1334 du 31 décembre 1975, par démarchage au sens des articles L. 341-1 et L. 341-4 du code monétaire et financier susvisé ou par toute autre forme ;
« r) Prestation de services essentielle :
« - les opérations de banque au sens de l'article L. 311-1 du code monétaire et financier susvisé et les services d'investissement au sens de l'article L. 321-1 du même code, pour lesquels l'entreprise assujettie a été agréée ;
« - les opérations connexes mentionnées aux paragraphes 1, 2 et 3 de l'article L. 311-2 et aux paragraphes 1, 2, 5 et 6 de l'article L. 321-2 du code monétaire et financier susvisé ;
« - les prestations participant directement à l'exécution des opérations ou des services mentionnés aux deux premiers tirets ci-dessus ;
« - les autres opérations connexes mentionnées aux articles L. 311-2 et L. 321-2 du code monétaire et financier susvisé ;
« - ou toute prestation de services présentant un effet significatif sur la maîtrise des risques.
« TITRE II
« LE SYSTÈME DE CONTRÔLE DES OPÉRATIONS
ET DES PROCÉDURES INTERNES
« Chapitre Ier
« Dispositions générales
« Art. 5. - Le système de contrôle des opérations et des procédures internes a notamment pour objet, dans des conditions optimales de sécurité, de fiabilité et d'exhaustivité, de :
« a) Vérifier que les opérations réalisées par l'entreprise, ainsi que l'organisation et les procédures internes, sont conformes aux dispositions en vigueur propres aux activités bancaires et financières, qu'elles soient de nature législative ou réglementaire, ou qu'il s'agisse de normes professionnelles et déontologiques, ou d'instructions de l'organe exécutif prises notamment en application des orientations de l'organe délibérant ;
« b) Vérifier que les procédures de décisions, de prises de risques, quelle que soit leur nature, et les normes de gestion fixées par l'organe exécutif, notamment sous forme de limites, sont strictement respectées ;
« c) Vérifier la qualité de l'information comptable et financière, qu'elle soit destinée à l'organe exécutif ou à l'organe délibérant, transmise aux autorités de tutelle et de contrôle ou qu'elle figure dans les documents destinés à être publiés ;
« d) Vérifier les conditions d'évaluation, d'enregistrement, de conservation et de disponibilité de cette information, notamment en garantissant l'existence de la piste d'audit au sens de l'article 12 ;
« e) Vérifier la qualité des systèmes d'information et de communication.
« Art. 6. - Les entreprises assujetties doivent, selon des modalités adaptées à leur taille et à la nature de leurs activités, disposer d'agents réalisant les contrôles, permanent ou périodique, conformément aux dispositions ci-après.
« a) Le contrôle permanent de la conformité, de la sécurité et de la validation des opérations réalisées et du respect des autres diligences liées à la surveillance des risques de toute nature associés aux opérations est assuré, avec un ensemble de moyens adéquats, par :
« - certains agents, au niveau des services centraux et locaux, exclusivement dédiés à cette fonction ;
« - d'autres agents exerçant des activités opérationnelles.
« b) Le contrôle périodique de la conformité des opérations, du niveau de risque effectivement encouru, du respect des procédures, de l'efficacité et du caractère approprié des dispositifs mentionnés au a est assuré au moyen d'enquêtes par des agents au niveau central et, le cas échéant, local, autres que ceux mentionnés au point a ci-dessus.
« Art. 7. - 1. L'organisation des entreprises assujetties adoptée en application du point a de l'article 6 doit être conçue de manière à assurer une stricte indépendance entre les unités chargées de l'engagement des opérations et les unités chargées de leur validation, notamment comptable, de leur règlement ainsi que du suivi des diligences liées à la surveillance des risques.
« Cette indépendance pourra être assurée par un rattachement hiérarchique différent de ces unités jusqu'à un niveau suffisamment élevé ou par une organisation qui garantisse une séparation claire des fonctions ou encore par des procédures, éventuellement informatiques, conçues dans ce but et dont l'entreprise est en mesure de justifier l'adéquation.
« Les entreprises assujetties désignent un ou plusieurs responsables pour le contrôle permanent prévu au premier tiret du point a de l'article 6. Les responsables de niveau le plus élevé lorsqu'ils ne sont pas membres de l'organe exécutif ne doivent effectuer aucune opération commerciale, financière ou comptable.
« En cas de pluralité de responsables de niveau le plus élevé du contrôle permanent, un membre de l'organe exécutif assure la cohérence et l'efficacité dudit contrôle.
« 2. Les entreprises assujetties désignent également un responsable chargé de veiller à la cohérence et à l'efficacité des missions mentionnées au point b de l'article 6.
« Les agents en charge du contrôle périodique prévu au point b de l'article 6 exercent leurs missions de manière indépendante à l'égard de l'ensemble des entités et services qu'ils contrôlent.
« 3. Lorsque la taille de l'entreprise ne justifie pas de confier les responsabilités du contrôle permanent et du contrôle périodique à des personnes différentes, ces responsabilités peuvent être confiées soit à une seule personne, soit à l'organe exécutif qui assure, sous le contrôle de l'organe délibérant, la coordination de tous les dispositifs qui concourent à l'exercice de cette mission.
« 4. Lorsque l'entreprise assujettie est une entreprise d'investissement, les fonctions prévues au point a de l'article 6 peuvent être confiées aux personnes en charge des contrôles prévus par le règlement général de l'Autorité des marchés financiers. Le responsable de ces contrôles peut assurer les responsabilités prévues au 1 du présent article .
« 5. Lorsqu'une entreprise appartient à un groupe au sens de l'article 1er du règlement no 2000-03 susvisé ou relève d'un organe central, ces responsabilités peuvent être assurées au niveau d'une autre entreprise du même groupe ou affiliée au même organe central, après accord des organes délibérants des deux entreprises concernées.
« 6. Dans les conditions prévues au 3 du présent article ou lorsque des circonstances particulières le justifient, une entreprise assujettie peut confier des tâches d'exécution des contrôles prévus à l'article 6 à des prestataires extérieurs de services sous la responsabilité des personnes désignées au titre du 1 du présent article et dans les conditions prévues à l'article 37-2 du présent règlement.
« Art. 8. - L'organe délibérant est tenu informé par l'organe exécutif de la désignation des responsables mentionnés aux points 1 et 2 de l'article 7, dont les identités sont communiquées à la Commission bancaire.
« Ces responsables rendent compte de l'exercice de leurs missions à l'organe exécutif. Lorsque ce dernier ou l'organe délibérant l'estiment nécessaire, ils rendent également compte directement à l'organe délibérant, ou, le cas échéant, au comité d'audit.
« Art. 9. - Les entreprises assujetties s'assurent que le nombre et la qualification des personnes mentionnées à l'article 6, ainsi que les moyens mis à leur disposition, en particulier les outils de suivi et les méthodes d'analyse de risques, sont adaptés aux activités, à la taille et aux implantations de l'entreprise.
« Les moyens affectés au contrôle périodique au titre des dispositifs mentionnés au b de l'article 6 doivent être suffisants pour mener un cycle complet d'investigations de l'ensemble des activités sur un nombre d'exercices aussi limité que possible ; un programme des missions de contrôle doit être établi au moins une fois par an en intégrant les objectifs annuels de l'organe exécutif et de l'organe délibérant en matière de contrôle.
« Art. 10. - Les entreprises assujetties s'assurent que le système de contrôle s'intègre dans l'organisation, les méthodes et les procédures de chacune des activités et que les dispositifs mentionnés au b de l'article 6 s'appliquent à l'ensemble de l'entreprise, y compris ses succursales, ainsi qu'à l'ensemble des entreprises contrôlées de manière exclusive ou conjointe.
« Chapitre II
« Dispositif de contrôle de la conformité
« Art. 11. - Les entreprises assujetties désignent un responsable chargé de veiller à la cohérence et à l'efficacité du contrôle du risque de non-conformité, dont elles communiquent l'identité à la Commission bancaire.
« Le responsable du contrôle de la conformité, lorsqu'il n'est pas membre de l'organe exécutif, ne doit effectuer aucune opération commerciale, financière ou comptable.
« Les entreprises assujetties déterminent si le responsable du contrôle de la conformité rend compte de l'exercice de sa mission à l'un des responsables du contrôle permanent prévu à l'article 7, point 1, troisième alinéa, ou directement à l'organe exécutif.
« Lorsque l'organe exécutif ou l'organe délibérant l'estiment nécessaire, le responsable du contrôle de la conformité rend également compte directement à l'organe délibérant.
« Lorsque la taille d'une entreprise assujettie ne justifie pas de confier cette responsabilité à une personne autre que le responsable du contrôle permanent, celui-ci assure la coordination de tous les dispositifs qui concourent à l'exercice de la fonction de contrôle de la conformité.
« Lorsqu'une entreprise appartient à un groupe au sens de l'article 1er du règlement no 2000-03 susvisé ou relève d'un organe central, cette responsabilité peut être assurée au niveau d'une autre entreprise du même groupe ou affiliée au même organe central, après accord des organes délibérants des deux entreprises concernées.
« Lorsque l'entreprise assujettie est une entreprise d'investissement, les responsabilités prévues au premier alinéa du présent article peuvent être confiées au responsable du contrôle de la conformité des dispositions relevant de la compétence de l'Autorité des marchés financiers, sans préjudice de l'application du 4 de l'article 7.
« Art. 11-1. - Les entreprises assujetties prévoient des procédures spécifiques d'examen de la conformité, notamment :
« - des procédures d'approbation préalable systématique, incluant un avis écrit du responsable en charge de la conformité ou d'une personne dûment habilitée par ce dernier à cet effet, pour les produits nouveaux ou pour les transformations significatives opérées sur les produits préexistants, pour cette entreprise ou pour le marché ;
« - des procédures de contrôle des opérations réalisées.
« Elles procèdent à un réexamen régulier de la pertinence au regard de leur activité de ces procédures spécifiques.
« Art. 11-2. - Les entreprises assujetties mettent en place, selon des modalités adaptées à leur organisation et qui tiennent compte, le cas échéant, de leur appartenance à un groupe au sens de l'article 1er du règlement no 2000-03 précité ou à un réseau relevant d'un organe central, des procédures de centralisation des informations relatives aux éventuels dysfonctionnements dans la mise en oeuvre effective des obligations de conformité.
« A cet égard, elles prévoient la faculté pour tout dirigeant ou préposé de faire part d'interrogations sur ces éventuels dysfonctionnements, au responsable de la conformité de l'entité ou de la ligne métier à laquelle ils appartiennent, ou au responsable mentionné à l'article 11. Les règles d'organisation adoptées sont portées à la connaissance de l'ensemble du personnel.
« Art. 11-3. - Les entreprises assujetties mettent en place des procédures permettant de suivre et d'évaluer la mise en oeuvre effective des actions visant à remédier à tout dysfonctionnement dans la mise en oeuvre des obligations de conformité.
« Art. 11-4. - Les entreprises assujetties assurent à tous les membres de leur personnel concernés une formation aux procédures de contrôle de la conformité, adaptée aux opérations qu'ils effectuent.
« Elles mettent en place un dispositif permettant de garantir un suivi régulier et le plus fréquent possible des modifications pouvant intervenir dans les textes applicables à leurs opérations et, à ce titre, l'information immédiate de tous les membres de leur personnel concernés.
« Art. 11-5. - Les entreprises assujetties s'assurent que leurs filiales et succursales à l'étranger mettent en place des dispositifs de contrôle de la conformité de leurs opérations.
« Ces dispositifs contrôlent le respect des règles locales applicables à l'activité de leurs filiales et succursales ainsi que l'application du présent règlement. Lorsque les dispositions locales sont plus contraignantes que les dispositions du présent règlement, leur respect est réputé satisfaire aux obligations prévues par le présent règlement au niveau des implantations locales.
« Art. 11-6. - Lorsque les dispositions de la réglementation locale font obstacle à l'application des règles prévues par le présent règlement, notamment si elles empêchent la communication d'informations nécessaires à cette application, les entités locales concernées en informent le responsable de la conformité. L'établissement assujetti informe la Commission bancaire de ces cas.
« TITRE III
« L'ORGANISATION COMPTABLE
ET DU TRAITEMENT DE L'INFORMATION
« Art. 12. - Les entreprises assujetties doivent respecter les dispositions des articles 1er à 6 du décret no 83-1020 du 29 novembre 1983 susvisé, en tenant compte des précisions ci-après :
« 1° En ce qui concerne l'information comprise dans les comptes de bilan et de résultats publiés ainsi que les informations de l'annexe issues de la comptabilité, l'organisation mise en place doit garantir l'existence d'un ensemble de procédures, appelé piste d'audit, qui permet :
« a) De reconstituer dans un ordre chronologique les opérations ;
« b) De justifier toute information par une pièce d'origine à partir de laquelle il doit être possible de remonter par un cheminement ininterrompu au document de synthèse et réciproquement ;
« c) D'expliquer l'évolution des soldes d'un arrêté à l'autre par la conservation des mouvements ayant affecté les postes comptables.
« En particulier, les soldes des comptes qui figurent dans le plan de comptes prescrit à l'article 4 du décret précité se raccordent, par voie directe ou par regroupement, aux postes et sous-postes du bilan et du compte de résultat ainsi qu'aux informations contenues dans l'annexe ; par exception, le solde d'un compte peut être raccordé par éclatement, à condition que l'entreprise puisse en justifier, qu'elle respecte les règles de sécurité et de contrôle adéquates et qu'elle décrive la méthode utilisée dans le document prescrit à l'article 1er du décret précité.
« 2° Les informations comptables qui figurent dans les situations destinées à la Commission bancaire, ainsi que celles qui sont nécessaires au calcul des normes de gestion établies en application des articles L. 611-2, point 6, et L. 533-1 du code monétaire et financier susvisé et des normes de gestion applicables aux entreprises mentionnées aux points 3 et 4 de l'article L. 442-2 et aux points 4 et 5 de l'article L. 542-1 du code monétaire et financier, doivent respecter, au moins, les conditions décrites aux points a et b du 1° du présent article relatif à la piste d'audit.
« En particulier, chaque montant figurant dans les situations, dans les tableaux annexes, dans les déclarations relatives aux normes de gestion et dans les autres documents remis à la Commission bancaire doit être contrôlable, notamment à partir du détail des éléments qui composent ce montant.
« Lorsque la Commission bancaire autorise que des informations soient fournies par une voie statistique, elles doivent être vérifiables sans ressortir nécessairement à la piste d'audit.
« Art. 13. - Les entreprises assujetties s'assurent de l'exhaustivité, de la qualité et de la fiabilité des informations et des méthodes d'évaluation et de comptabilisation, notamment par les voies suivantes :
« a) Un contrôle périodique doit être exercé sur l'adéquation des méthodes et des paramètres retenus pour l'évaluation des opérations dans les systèmes de gestion ;
« b) Un contrôle périodique doit être exercé pour s'assurer de la pertinence des schémas comptables au regard des objectifs généraux de sécurité et de prudence, ainsi que de leur conformité aux règles de comptabilisation en vigueur ;
« c) Pour les opérations qui font encourir des risques de marché, y compris des risques de change, un rapprochement doit être effectué, à tout le moins mensuellement, entre les résultats calculés pour la gestion opérationnelle et les résultats comptabilisés en respectant les règles d'évaluation en vigueur. Les entreprises assujetties doivent être en mesure d'identifier et d'analyser les écarts constatés.
« Art. 14. - Les entreprises assujetties déterminent le niveau de sécurité informatique jugé souhaitable par rapport aux exigences de leurs métiers. Elles veillent au niveau de sécurité retenu et à ce que leurs systèmes d'information soient adaptés.
« Le contrôle des systèmes d'information doit notamment permettre de s'assurer que :
« a) Le niveau de sécurité des systèmes informatiques est périodiquement apprécié et que, le cas échéant, les actions correctrices sont entreprises ;
« b) Des procédures de secours informatique sont disponibles afin d'assurer la continuité de l'exploitation en cas de difficultés graves dans le fonctionnement des systèmes informatiques.
« Le contrôle des systèmes d'information s'étend à la conservation des informations et à la documentation relative aux analyses, à la programmation et à l'exécution des traitements.
« Art. 14-1. - Outre les dispositions prévues à l'article 14, les entreprises assujetties doivent :
« a) Disposer de plans de continuité de l'activité ;
« b) S'assurer que leur organisation et la disponibilité de leurs ressources humaines, immobilières, techniques et financières font l'objet d'une appréciation régulière au regard des risques liés à la continuité de l'activité ;
« c) S'assurer de la cohérence et de l'efficacité des plans de continuité de l'activité dans le cadre d'un plan global qui intègre les objectifs définis par l'organe exécutif et, le cas échéant, par l'organe délibérant.
« Art. 15. - Les entreprises assujetties sont tenues de conserver, jusqu'à la date de l'arrêté suivant, l'ensemble des fichiers nécessaires à la justification des documents du dernier arrêté remis à la Commission bancaire.
« Art. 16. - Sans préjudice des dispositions du règlement général et des décisions de l'Autorité des marchés financiers relatives à la comptabilité des instruments financiers, les avoirs détenus par les entreprises assujetties pour le compte de tiers, mais ne figurant pas dans les comptes individuels annuels, doivent faire l'objet d'une comptabilité ou d'un suivi matière retraçant les existants, les entrées et les sorties.
« Parmi ces avoirs, une répartition est effectuée, si elle est significative, entre ceux détenus à titre de simple dépositaire et ceux qui garantissent soit un crédit accordé, soit un engagement pris à des fins spécifiques ou en vertu d'une convention générale en faveur du déposant.
« TITRE IV
« LES SYSTÈMES DE MESURE DES RISQUES
ET DES RÉSULTATS
« Art. 17. - Les entreprises assujetties mettent en place des systèmes d'analyse et de mesure des risques en les adaptant à la nature et au volume de leurs opérations afin d'appréhender les risques de différentes natures auxquels ces opérations les exposent, et notamment les risques de crédit, de marché, de taux d'intérêt global, d'intermédiation, de règlement et de liquidité.
« Les entreprises assujetties et les compagnies financières mentionnées à l'article 2 doivent également disposer de systèmes de mesure adaptés à la nature et au volume de leurs opérations leur permettant d'appréhender les risques de crédit, de marché, de liquidité, de taux d'intérêt global et de règlement sur une base consolidée.
« Chapitre Ier
« La sélection et la mesure
des risques de crédit
« Art. 18. - Les entreprises assujetties doivent disposer d'une procédure de sélection des risques de crédit et d'un système de mesure de ces risques leur permettant notamment :
« a) D'identifier de manière centralisée leurs risques de bilan et de hors-bilan à l'égard d'une contrepartie ou de contreparties considérées comme un même bénéficiaire au sens de l'article 3 du règlement no 93-05 susvisé ;
« b) D'appréhender différentes catégories de niveaux de risque à partir d'informations qualitatives et quantitatives ;
« c) De procéder, si elles sont significatives, à des répartitions globales de leurs engagements par ensembles de contreparties faisant l'objet d'une appréciation identique de leur niveau de risque, tel que celui-ci est apprécié par l'entreprise, ainsi que par secteur économique et par zone géographique.
« Art. 19. - Sous réserve des dispositions prévues à l'article 23, l'appréciation du risque de crédit doit notamment tenir compte des éléments sur la situation financière du bénéficiaire, en particulier sa capacité de remboursement, et, le cas échéant, des garanties reçues. Pour les risques sur des entreprises, elle doit tenir compte également de l'analyse de leur environnement, des caractéristiques des associés ou actionnaires et des dirigeants ainsi que des documents comptables les plus récents.
« Les entreprises assujetties constituent des dossiers de crédit destinés à recueillir l'ensemble de ces informations de nature qualitative et quantitative et regroupent dans un même dossier les informations concernant les contreparties considérées comme un même bénéficiaire, sous réserve de l'application de réglementations étrangères limitant éventuellement la communication d'informations.
« Les entreprises assujetties complètent ces dossiers au moins trimestriellement pour les contreparties dont les créances sont impayées ou douteuses ou qui présentent des risques ou des volumes significatifs.
« Art. 20. - La sélection des opérations de crédit doit également tenir compte de leur rentabilité, en s'assurant que l'analyse prévisionnelle des charges et produits, directs et indirects, soit la plus exhaustive possible et porte notamment sur les coûts opérationnels et de financement, sur la charge correspondant à une estimation du risque de défaut du bénéficiaire au cours de l'opération de crédit et sur le coût de rémunération des fonds propres.
« L'organe exécutif procède, à tout le moins semestriellement, à une analyse a posteriori de la rentabilité des opérations de crédit.
« Art. 21. - Les procédures de décision de prêts ou d'engagements, notamment lorsqu'elles sont organisées par voie de délégations, doivent être clairement formalisées et adaptées aux caractéristiques de l'entreprise, en particulier sa taille, son organisation, la nature de son activité.
« Lorsque la nature et l'importance des opérations le rendent nécessaire, les entreprises assujetties s'assurent, dans le cadre du respect des procédures de délégations éventuellement définies, que les décisions de prêts ou d'engagements sont prises par au moins deux personnes et que les dossiers de crédit font également l'objet d'une analyse par une unité spécialisée indépendante des entités opérationnelles.
« Lors de l'octroi de prêts ou d'engagements envers les dirigeants ou actionnaires principaux, au sens de l'article 6 ter du règlement no 90-02 susvisé, les entreprises assujetties examinent la nature des opérations et les conditions dont elles sont assorties au regard, notamment, des dispositions des articles L. 225-38 à L. 225-43 du code de commerce et par rapport aux opérations de même nature habituellement conclues avec des personnes autres que celles mentionnnées ci-dessus.
« Art. 22. - Les systèmes de mesure des risques de crédit mis en place doivent notamment permettre d'identifier, de mesurer et d'agréger le risque qui résulte de l'ensemble des opérations de bilan et de hors-bilan pour lesquelles l'entreprise encourt un risque de défaillance d'une contrepartie.
« Pour la mesure du risque de crédit généré par des instruments négociés sur des marchés de gré à gré ou des marchés assimilés aux marchés organisés, les entreprises assujetties dont l'activité est significative doivent retenir une méthode d'évaluation au prix de marché qui prenne en compte un facteur de risque futur.
« Art. 23. - Les entreprises assujetties qui utilisent des systèmes statistiques pour la sélection et la mesure de leurs risques de crédit vérifient régulièrement leur pertinence au regard des incidents de paiement constatés dans le passé récent et en tenant compte de l'évolution de l'environnement économique et juridique.
« Art. 24. - Les entreprises assujetties doivent procéder, à tout le moins trimestriellement, à l'analyse de l'évolution de la qualité de leurs engagements. Cet examen doit notamment permettre de déterminer, pour les opérations dont l'importance est significative, les reclassements éventuellement nécessaires au sein des catégories internes d'appréciation du niveau de risque de crédit, ainsi que, en tant que de besoin, les affectations dans les rubriques comptables de créances douteuses et les niveaux appropriés de provisionnement.
« La détermination du niveau approprié de provisionnement tient compte des garanties pour lesquelles les entreprises assujetties doivent s'assurer des possibilités effectives de mise en oeuvre et de l'existence d'une évaluation récente réalisée sur une base prudente.
« Chapitre II
« La mesure des risques de marché
« Art. 25. - Les entreprises assujetties doivent disposer de systèmes de suivi des opérations effectuées pour leur compte propre permettant notamment :
« a) D'enregistrer, à tout le moins quotidiennement, les opérations de change et les opérations portant sur leur portefeuille de négociation, défini à l'article 5 du règlement no 95-02 susvisé, et de calculer leurs résultats, ainsi que de déterminer les positions selon la même périodicité ;
« b) De mesurer, à tout le moins quotidiennement, les risques résultant des positions du portefeuille de négociation conformément à l'article 7 du règlement no 95-02 susvisé ainsi que l'adéquation des fonds propres de l'entreprise.
« Art. 26. - Pour la mesure des risques de marché, les entreprises assujetties veillent à appréhender de manière complète et précise les différentes composantes du risque.
« Lorsqu'elles ont une activité significative, les entreprises assujetties complètent les mesures mentionnées à l'alinéa précédent par une mesure globale de leur risque qui privilégie une approche fondée sur la notion de perte potentielle maximale.
« La mesure des risques de marché doit être conçue avec des systèmes qui permettent une agrégation de positions relatives à des produits et des marchés différents, au niveau de l'entreprise ou du groupe pour les entreprises assujetties et les compagnies financières surveillées sur une base consolidée.
« Art. 27. - Les entreprises assujetties veillent à évaluer, de façon régulière, les risques qu'elles encourent en cas de fortes variations des paramètres d'un marché ou, en tant que de besoin, d'un segment de marché.
« Un contrôle périodique doit être exercé sur la validité et la cohérence des paramètres et des hypothèses retenus pour cette évaluation des risques de marché.
« Les résultats de ces mesures sont communiqués à l'organe exécutif qui en informe l'organe délibérant afin d'apprécier les risques de l'entreprise notamment par rapport à ses fonds propres et ses résultats.
« Chapitre III
« La mesure du risque de taux d'intérêt global
« Art. 28. - Les entreprises assujetties doivent disposer d'un système de mesure du risque de taux global, lorsqu'il est significatif, leur permettant notamment :
« a) D'appréhender les positions et les flux, certains ou prévisibles, résultant de l'ensemble des opérations de bilan et de hors-bilan ;
« b) D'appréhender les différents facteurs de risque de taux d'intérêt global auquel ces opérations les exposent ;
« c) D'évaluer périodiquement l'impact de ces différents facteurs, dès lors qu'ils sont significatifs, sur leurs résultats et leurs fonds propres.
« Art. 29. - Les entreprises assujetties peuvent choisir de soustraire du périmètre de mesure du risque de taux global les opérations pour lesquelles elles procèdent à la mesure des risques de marché telle que définie au chapitre II du présent règlement.
« Les entreprises assujetties contrôlées de manière exclusive ou conjointe par une entreprise ou une compagnie financière surveillées sur une base consolidée peuvent ne pas disposer d'un système de mesure de leur risque de taux global.
« Art. 30. - Les entreprises assujetties veillent à évaluer, de façon régulière, les risques qu'elles encourent en cas de fortes variations des paramètres de marché ou de ruptures des hypothèses retenues en matière de simulation.
« Un contrôle périodique doit être exercé sur la validité et la cohérence des paramètres et des hypothèses retenus pour cette évaluation des risques de taux d'intérêt global.
« Les résultats de ces mesures sont communiqués à l'organe exécutif qui en informe l'organe délibérant afin d'apprécier les risques de l'entreprise notamment par rapport à ses fonds propres et ses résultats.
« Chapitre IV
« La sélection et la mesure des risques d'intermédiation
« Art. 30-1. - Le présent article ne s'applique qu'aux prestataires de services d'investissement qui apportent leur garantie de bonne fin à l'occasion de transactions sur instruments financiers ainsi qu'aux entreprises mentionnées aux points 3 et 4 de l'article L. 442-2 du code monétaire et financier, désignés ci-après sous le terme de prestataires.
« 1° Les prestataires doivent disposer d'une procédure de sélection et de mesure des risques d'intermédiation permettant d'appréhender les engagements à l'égard des donneurs d'ordres et des contreparties et de recenser par donneur d'ordres les garanties constituées sous forme de dépôts d'espèces ou d'instruments financiers.
« Les prestataires doivent mettre en place des procédures formalisées d'engagement des opérations, notamment lorsqu'elles sont organisées sous forme de délégations.
« 2° L'appréciation du risque du prestataire sur chaque donneur d'ordres doit notamment tenir compte d'éléments sur la situation financière de ce dernier et des caractéristiques des opérations qu'il transmet.
« 3° Les prestataires doivent disposer d'un système de suivi des opérations d'intermédiation permettant notamment :
« - d'enregistrer sans délai les opérations déjà réalisées. Les opérations transmises par les donneurs d'ordres qui ne sont pas immédiatement imputées à leurs comptes ou formellement acceptées par eux doivent être considérées comme des positions pour compte propre au plan de la surveillance et de la maîtrise des risques ;
« - de prendre les dispositions nécessaires pour être en mesure de calculer à la fin de chaque journée la valeur de marché des positions acheteuses ou vendeuses des donneurs d'ordres qui, à la suite de l'appréciation mentionnée au 2° du présent article , nécessitent un suivi attentif. La valeur de ces positions est rapprochée quotidiennement de leur valeur de transaction ;
« - d'évaluer à la fin de chaque journée la valeur de marché des instruments financiers apportés en garantie par les donneurs d'ordres ;
« - d'enregistrer à la fin de chaque journée et de retracer individuellement toutes erreurs dans la prise en charge et l'exécution des ordres. Ces positions doivent être considérées au plan de la surveillance et de la maîtrise des risques comme des risques de marché pris pour compte propre. Les prestataires qui ne sont pas habilités à fournir le service de négociation pour compte propre dénouent ces positions sans délai. Chaque incident doit faire l'objet d'un document descriptif porté à la connaissance de l'un des responsables pour le contrôle permanent prévu au premier tiret du point a de l'article 6 dès lors que l'erreur est supérieure à un seuil établi par l'organe exécutif.
« Le prestataire s'assure qu'il est en mesure d'établir la chronologie des opérations et d'évaluer a posteriori les positions prises en cours de journée.
« Lorsque le prestataire est une entreprise mentionnée aux points 3 ou 4 de l'article L. 442-2 du code monétaire et financier, le terme donneur(s) d'ordres utilisé dans cet article est remplacé par le terme négociateur(s) dès lors que ladite personne morale n'est pas en relation directe avec le donneur d'ordres.
« Chapitre V
« La mesure du risque de liquidité et de règlement
« Art. 31. - Les entreprises assujetties doivent disposer d'un système de mesure de leur exposition au risque de règlement. Les entreprises assujetties veillent à appréhender, pour les différents instruments qu'elles traitent, les différentes phases du processus de règlement, en particulier l'heure limite pour l'annulation unilatérale de l'instruction de paiement, l'échéance de la réception définitive des fonds relatifs à l'instrument acheté et le moment où elles constatent la réception définitive des fonds ou de l'impayé.
« Les entreprises assujetties mettent en place des procédures permettant de connaître leur exposition actuelle et future au risque de règlement à mesure qu'elles concluent de nouvelles opérations et que les opérations non encore réglées suivent les différentes phases du processus de règlement.
« Art. 31-1. - Le présent article ne s'applique qu'aux prestataires de services d'investissement qui apportent leur garantie de bonne fin à l'occasion de transactions sur instruments financiers ainsi qu'aux entreprises mentionnées aux points 3 et 4 de l'article L. 442-2 du code monétaire et financier, désignés ci-après sous le terme de prestataires.
« 1° Les prestataires doivent disposer d'un système de mesure du risque de liquidité découlant de l'exécution de services d'investissement ou de compensation permettant d'appréhender en date de règlement l'intégralité des flux de trésorerie et de titres.
« Les prestataires prennent en considération en particulier les flux certains ou prévisibles d'espèces ou de titres liés à des opérations à terme ou à des opérations sur instruments financiers à terme.
« 2° Les prestataires veillent à appréhender pour les différents instruments qu'ils traitent et pour chaque système de règlement-livraison utilisé les différentes phases du processus de règlement et de livraison. En cas de retard ou d'impayés, la surveillance des opérations doit être assurée jusqu'à la date de dénouement effectif.
« Lorsque les opérations sont traitées par un système de règlement-livraison comportant des règlements définitifs en cours de journée, le système de mesure doit en outre identifier les flux prévisionnels de titres ou d'espèces en cours de journée, de façon à tenir compte des heures limites pour l'annulation unilatérale des ordres de règlement ou de livraison.
« Les prestataires procèdent à un suivi journalier des opérations ayant entraîné l'apparition de suspens et veillent à l'apurement dans les plus brefs délais de ces derniers.
« 3° Les prestataires doivent disposer d'un système de mesure des ressources, titres ou espèces aisément mobilisables permettant de respecter les engagements pris à l'égard des contreparties, dans le respect des règles de ségrégation des actifs déterminées par la réglementation en vigueur. A cet égard, ils mettent en oeuvre les moyens nécessaires afin d'assurer le respect de leurs obligations dans le cadre des systèmes de règlement-livraison comportant des règlements définitifs en cours de journée.
« 4° Les prestataires évaluent au moins une fois par an les risques de liquidité et de règlement qu'ils encourent en cas de forte variation des paramètres de marché ou dans l'hypothèse de la défaillance des donneurs d'ordres. Un contrôle périodique doit être assuré sur les hypothèses utilisées ainsi que les paramètres employés.
« Les résultats de cette mesure sont communiqués à l'organe exécutif qui s'assure que le prestataire dispose des ressources nécessaires pour respecter ses engagements dans tous les cas. L'organe délibérant est tenu informé de cette mesure et des décisions prises par l'organe exécutif pour couvrir les risques de liquidité.
« TITRE V
« LES SYSTÈMES DE SURVEILLANCE
ET DE MAÎTRISE DES RISQUES
« Chapitre Ier
« Dispositions générales
« Art. 32. - Les entreprises assujetties se dotent des moyens adaptés à la maîtrise des risques opérationnels, y compris juridiques.
« Elles mettent en place des systèmes de surveillance et de maîtrise des risques, notamment de crédit, de marché, de taux d'intérêt global, d'intermédiation, de règlement et de liquidité, faisant apparaître des limites internes ainsi que les conditions dans lesquelles ces limites sont respectées.
« Les entreprises assujetties et les compagnies financières mentionnées à l'article 2 du présent règlement doivent en outre disposer de systèmes de surveillance et de maîtrise des risques de crédit, de marché, de taux d'intérêt global, de règlement et de liquidité leur permettant d'appréhender ces risques sur une base consolidée dans les conditions prévues au deuxième alinéa de l'article 17.
« Art. 32-1. - Les entreprises assujetties doivent procéder à un réexamen régulier des systèmes de mesure des risques et de détermination des limites afin d'en vérifier la pertinence au regard de l'évolution de l'activité, de l'environnement des marchés ou des techniques d'analyse.
« Lorsqu'une entreprise assujettie décide de réaliser des opérations portant sur de nouveaux produits ou d'opérer des transformations à un produit préexistant, pour cette entreprise ou pour le marché, le système de contrôle permanent doit permettre de s'assurer :
« a) Que l'analyse spécifique des risques a été conduite de manière rigoureuse et préalable ;
« b) De l'adéquation des procédures de mesure, de limite et de contrôle des risques encourus ;
« c) Que, le cas échéant, les adaptations nécessaires aux procédures en place ont été engagées.
« Art. 33. - Les systèmes de surveillance et de maîtrise des risques de crédit, de marché, de taux d'intérêt global, d'intermédiation, de règlement et de liquidité doivent comporter un dispositif de limites globales. Pour les activités de marché, les limites globales sont définies par type de risque encouru. Pour le risque d'intermédiation, les limites globales sont définies par entité juridique.
« Les limites globales de risques sont fixées et revues, autant que nécessaire et au moins une fois par an, par l'organe exécutif et, le cas échéant, par l'organe délibérant en tenant compte notamment des fonds propres de l'entreprise et, le cas échéant, des fonds propres consolidés et de leur répartition au sein du groupe adaptée aux risques encourus.
« Les limites opérationnelles, qui peuvent être fixées au niveau de différentes entités d'organisation interne, doivent être établies de manière cohérente avec les limites globales mentionnées ci-dessus.
« La détermination des différentes limites, globales et opérationnelles, doit être effectuée de façon homogène par rapport aux systèmes de mesure des risques.
« Art. 34. - Les entreprises assujetties se dotent de dispositifs permettant, selon des procédures formalisées :
« a) De s'assurer en permanence du respect des procédures et des limites fixées ;
« b) De procéder à l'analyse des causes du non-respect éventuel des procédures et des limites ;
« c) D'informer les entités ou les personnes qui sont désignées à cet effet de l'ampleur de ces dépassements et des actions correctrices qui sont proposées ou entreprises.
« Art. 35. - Lorsque les limites sont réparties entre entités d'organisation interne ou entre entreprises incluses dans le champ de la consolidation et qu'elles sont susceptibles d'être atteintes, les entités concernées doivent en référer au niveau approprié de l'organisation dans le cadre de procédures formalisées.
« Lorsque le suivi du respect des limites est contrôlé par un comité des risques, celui-ci doit être composé non seulement de responsables des unités opérationnelles et de représentants de l'organe exécutif mais aussi de personnes choisies en raison de leur compétence dans le domaine du contrôle des risques et indépendantes des unités opérationnelles.
« Art. 36. - Les entreprises assujetties définissent des procédures d'information, à tout le moins trimestrielle, de l'organe exécutif et, le cas échéant, du comité des risques, sur le respect des limites de risque, notamment lorsque les limites globales sont susceptibles d'être atteintes.
« Art. 37. - Pour la surveillance de leurs opérations, et notamment pour les informations destinées à l'organe exécutif, au comité des risques mentionné à l'article 35, à l'organe délibérant et, le cas échéant, au comité d'audit, les entreprises assujetties doivent élaborer des états de synthèses adaptés.
« Chapitre II
« Conditions applicables en matière d'externalisation
« Art. 37-1. - Les entreprises assujetties s'assurent que toute prestation qui concourt de façon substantielle à la décision engageant l'entreprise vis-à-vis de sa clientèle à conclure une opération mentionnée aux trois premiers tirets de l'article 4 r) n'est externalisée qu'auprès de personnes agréées ou habilitées selon les normes de leur pays à exercer de telles activités.
« Art. 37-1-1. - Les entreprises assujetties :
« a) S'assurent que leur système de contrôle au sens de l'article 5 inclut leurs activités externalisées ;
« b) Se dotent de dispositifs de contrôle, au sens de l'article 6, de leurs activités externalisées.
« Lorsque l'entreprise assujettie recourt à un prestataire externe, auquel sont appliquées les dispositions de l'article 2 a), les dispositions prévues aux points a et b ci-dessus sont intégrées dans le dispositif de contrôle interne sur base consolidée.
« Art. 37-2. - Les entreprises assujetties qui externalisent une prestation de services essentielle à leur activité, au sens des articles 4 q) et 4 r), doivent conserver l'entière maîtrise de leur activité. Elles doivent en particulier respecter les dispositions suivantes :
« 1. L'externalisation d'activité doit :
« a) Donner lieu à un contrat écrit entre le prestataire externe et l'entreprise assujettie ;
« b) S'inscrire dans le cadre d'une politique formalisée de contrôle des prestataires externes définie par l'entreprise assujettie.
« 2. Les entreprises assujetties s'assurent, dans leurs relations avec leurs prestataires externes, que ces derniers :
« a) S'engagent sur un niveau de qualité répondant à un fonctionnement normal du service et, en cas d'incident, conduisant à recourir aux mécanismes de secours mentionnés au point b ;
« b) Mettent en oeuvre des mécanismes de secours en cas de difficulté grave affectant la continuité du service ou que leur propre plan de continuité tient compte de l'impossibilité pour le prestataire externe d'assurer sa prestation ;
« c) Ne peuvent imposer une modification substantielle de la prestation qu'ils assurent sans l'accord préalable de l'entreprise assujettie ;
« d) Se conforment aux procédures définies par l'entreprise assujettie concernant l'organisation et la mise en oeuvre du contrôle des services qu'ils fournissent ;
« e) Leur permettent, chaque fois que cela est nécessaire, l'accès, le cas échéant sur place, à toute information sur les services mis à leur disposition, dans le respect des réglementations relatives à la communication d'informations ;
« f) Leur rendent compte de façon régulière de la manière dont est exercée l'activité externalisée ainsi que leur situation financière ;
« g) Acceptent que la Commission bancaire ou toute autre autorité étrangère équivalente au sens des articles L. 613-12 et L. 613-13 du code monétaire et financier susvisé ait accès aux informations sur les activités externalisées nécessaires à l'exercice de sa mission, y compris sur place.
« TITRE VI
« LE SYSTÈME DE DOCUMENTATION ET D'INFORMATION
« Art. 38. - Au moins deux fois par an, l'organe délibérant procède à l'examen de l'activité et des résultats du contrôle interne et en particulier du contrôle de la conformité sur la base des informations qui lui sont transmises à cet effet par l'organe exécutif et par les responsables mentionnés aux articles 7 et 11 ainsi que, le cas échéant, par le comité d'audit.
« Lorsqu'il existe un comité d'audit, cet examen peut n'avoir lieu qu'une fois par an.
« Art. 39. - L'organe exécutif informe régulièrement, au moins une fois par an, l'organe délibérant et, le cas échéant, le comité d'audit :
« a) Des éléments essentiels et des enseignements principaux qui peuvent être dégagés des mesures de risques auxquels l'entreprise assujettie et, le cas échéant, le groupe sont exposés, notamment les répartitions prévues à l'article 18 ainsi que l'analyse de la rentabilité des opérations de crédit prévue à l'article 20 et la surveillance du risque de non-conformité ;
« b) Des mesures prises pour assurer la continuité de l'activité et l'appréciation portée sur l'efficacité des dispositifs en place ;
« c) Des mesures prises pour assurer le contrôle des activités externalisées et des risques éventuels qui en résultent pour l'entreprise assujettie ; les prestations de services essentielles relevant des trois premiers tirets de l'article 4 r) doivent être distinguées dans cette information.
« Lorsque l'organe délibérant n'est pas associé à la fixation des limites, l'organe exécutif informe celui-ci et, le cas échéant, le comité d'audit, des décisions prises en la matière et il l'informe régulièrement, au moins une fois par an, des conditions dans lesquelles les limites fixées sont respectées.
« Art. 40. - Les entreprises assujetties élaborent et tiennent à jour des manuels de procédures relatifs et adaptés à leurs différentes activités. Ces documents doivent notamment décrire les modalités d'enregistrement, de traitement et de restitution des informations, les schémas comptables et les procédures d'engagement des opérations.
« Les entreprises assujetties établissent, dans les mêmes conditions, une documentation qui précise les moyens destinés à assurer le bon fonctionnement du contrôle interne, notamment :
« a) Les différents niveaux de responsabilité ;
« b) Les attributions dévolues et les moyens affectés au fonctionnement des dispositifs de contrôle interne ;
« c) Les règles qui assurent l'indépendance de ces dispositifs dans les conditions prévues à l'article 7 ;
« d) Les procédures relatives à la sécurité des systèmes d'information et de communication et aux plans de continuité de l'activité ;
« e) Une description des systèmes de mesure, de limitation et de surveillance des risques ;
« f) Le mode d'organisation du dispositif de contrôle de la conformité ;
« g) Pour les prestataires de services d'investissement et les entreprises mentionnées aux points 3 et 4 de l'article L. 442-2 et aux points 4 et 5 de l'article L. 542-1 du code monétaire et financier, le mode d'organisation de la gestion de trésorerie dans le cadre de l'exécution des services d'investissement ou de compensation et les conditions dans lesquelles est suivie la trésorerie prévisionnelle.
« La documentation est organisée de façon à pouvoir être mise à la disposition, à leur demande, de l'organe exécutif, de l'organe délibérant, des commissaires aux comptes et du secrétariat général de la Commission bancaire ainsi que, le cas échéant, du comité d'audit et de l'organe central.
« Art. 41. - Les rapports établis à la suite des contrôles effectués dans le cadre des dispositifs mentionnés au b de l'article 6 sont communiqués à l'organe exécutif et, sur sa demande, à l'organe délibérant et, le cas échéant, au comité d'audit. Lorsque le nombre de rapport et la taille de l'établissement le justifient, peuvent n'être directement portées à la connaissance de l'organe exécutif que les conclusions figurant dans ces rapports, qui en reprennent les résultats principaux.
« Lorsqu'une entreprise est affiliée à un organe central, ils sont également communiqués à celui-ci.
« Ces rapports sont tenus à la disposition des commissaires aux comptes et du secrétariat général de la Commission bancaire.
« Art. 42. - Au moins une fois par an, les entreprises assujetties élaborent un rapport sur les conditions dans lesquelles le contrôle interne est assuré.
« 1. Ce rapport comprend notamment, pour les différentes catégories des risques mentionnés dans le présent règlement :
« a) Une description des principales actions effectuées dans le cadre du contrôle, en application du a de l'article 6, et des enseignements qui en ressortent ;
« b) Un inventaire des enquêtes réalisées en application du b de l'article 6 faisant ressortir les principaux enseignements et, en particulier, les principales insuffisances relevées ainsi qu'un suivi des mesures correctrices prises ;
« c) Une description des modifications significatives réalisées dans les domaines des contrôles permanent et périodique au cours de la période sous revue, en particulier pour prendre en compte l'évolution de l'activité et des risques ;
« d) Une description des conditions d'application des procédures mises en place pour les nouvelles activités ;
« e) Un développement relatif aux contrôles permanent et périodique des succursales à l'étranger ;
« f) La présentation des principales actions projetées dans le domaine du contrôle interne ;
« g) Une annexe recensant les opérations conclues avec les dirigeants et actionnaires principaux aux sens de l'article 6 ter du règlement no 90-02 susvisé.
« 2. Les entreprises assujetties et les compagnies financières surveillées sur une base consolidée élaborent également, au moins une fois par an, un rapport sur les conditions dans lesquelles le contrôle interne est assuré au niveau de l'ensemble du groupe. Les entreprises assujetties incluent ce rapport du groupe dans le rapport mentionné au point 1 du présent article .
« 3. Lorsque l'entreprise assujettie est une entreprise d'investissement, le rapport établi au titre du présent article peut reprendre les informations contenues dans le rapport prévu par le règlement général de l'Autorité des marchés financiers, lorsque l'entreprise d'investissement estime que ces informations sont significatives pour les questions mentionnées au 1 du présent article .
« Art. 43. - Au moins une fois par an, les entreprises assujetties élaborent un rapport sur la mesure et la surveillance des risques auxquels elles sont exposées. Lorsque l'entreprise est surveillée sur une base consolidée incluant d'autres entreprises assujetties, le rapport porte sur les risques auxquels le groupe est exposé. Ce rapport comprend notamment les informations communiquées à l'organe délibérant en application de l'article 39.
« Ce rapport comprend pour les entreprises assujetties concernées une annexe relative à la sécurité des moyens de paiement transmise par le secrétariat général de la Commission bancaire à la Banque de France au titre de sa mission définie par l'article L. 141-4 du code monétaire et financier susvisé. Les entreprises assujetties y présentent l'évaluation, la mesure et le suivi de la sécurité des moyens de paiement qu'elles émettent ou qu'elles gèrent au regard de leurs éventuelles normes internes et des recommandations que la Banque de France ou le Système européen de banques centrales portent à leur connaissance.
« Dans le cadre du contrôle de la liquidité des prestataires de services d'investissement et des personnes mentionnées aux points 3 et 4 de l'article L. 442-2 du code monétaire et financier, ce rapport précise, entre autres, les hypothèses retenues.
« Ce rapport peut être inclus dans le rapport prévu à l'article 42.
« Art. 44. - Les rapports mentionnés aux articles 42 et 43 sont communiqués à l'organe délibérant et, le cas échéant, au comité d'audit et à l'organe central.
« Ils sont adressés chaque année aux commissaires aux comptes et au secrétariat général de la Commission bancaire, au plus tard le 30 avril suivant la fin de l'exercice.
« TITRE VII
« DISPOSITIONS DIVERSES
« Art. 45. - A l'exception des dispositions relatives à la mesure du risque de liquidité, prévues aux articles 31 et 31-1, 43, alinéa 3, et 44, le présent règlement ne s'applique pas aux succursales des établissements ayant leur siège social dans un autre Etat membre de la Communauté européenne ou partie à l'accord sur l'Espace économique européen et mentionnés aux articles L. 511-21, L. 511-22 et L. 511-23 du code monétaire et financier susvisé.
« Art. 46. - L'article 37-2 s'applique à partir du 1er janvier 2006 pour les nouvelles activités externalisées et pour celles qui font l'objet d'un renouvellement à partir de cette date. Pour les activités qui, à la date du 1er janvier 2006, sont externalisées pour une durée indéterminée, les entreprises assujetties apportent les modifications nécessaires pour assurer la conformité au présent règlement d'ici le 1er janvier 2007. »Article 2
Le présent arrêté entre en vigueur le 1er janvier 2006.Article 3
Le présent arrêté sera publié au Journal officiel de la République française.
Fait à Paris, le 31 mars 2005.
Thierry Breton