Circulaire 89-3 aux institutions financières

[page 1] Banque de la République d'Haïti CIRCULAIRE No 89-3 AUX INSTITUTIONS FINANCIERES En conformité aux articles 84 et 161 de la loi du 14 mai 2012 portant sur les banques et autres institutions financières, à l’article 37 du décret du 5 juin 2020 portant sur l’organisation et le fonctionnement des Institutions de Microfinance (IMF), à l’article 45 du décret du 25 novembre 2020 sur les intermédiaires de change et à l’article 31 du décret du 30 avril 2023 sanctionnant le blanchiment de capitaux, le financement du terrorisme et le financement de la prolifération d’armes de destruction massive, les institutions financières sont tenues de respecter les dispositions suivantes relatives aux normes minimales de contrôle interne. 1: Définitions Les définitions suivantes s'appliquent à la présente circulaire : a) Audit interne : fonction d'inspection et de vérification interne établie au sein d’une institution financière et dont l’objet, conformément aux normes internationales définies par l’Institut des Auditeurs Internes (ILA), est d'examiner, d’évaluer et de contrôler les activités de celle-ci pour le compte de son conseil d’administration et de sa direction générale. Elle vise à aider les administrateurs et les dirigeants à s'acquitter de leurs responsabilités, en leur fournissant des analyses, des évaluations, des recommandations, des conseils et des informations relativement aux activités examinées. b) Cadre de contrôle interne: structure à l’intérieur de laquelle s’inscrivent l'élaboration, l’application et la surveillance des contrôles internes. Le cadre de contrôle interne se compose de mécanismes et de dispositions qui visent à déceler les risques internes et externes significatifs auxquels l'institution financière et ses filiales consolidées s’exposent, à élaborer et à appliquer des contrôles internes adéquats et efficaces pour garantir une gestion saine et prudente de ces risques, et à mettre en place des systèmes fiables et exhaustifs pour surveiller convenablement l'efficacité de ces contrôles, et ainsi permettre à l’institution d’atteindre ses objectifs. 1 2? [page 2] c) Contrôle corrélatif: procédure d’autocontrôle qui consiste à départager les responsabilités d'initiation des opérations de celles de leur enregistrement de sorte qu'un employé ou un groupe d'employés assure une vérification continuelle et systématique des travaux effectués par d’autres employés. Une caractéristique essentielle de l’autocontrôle est qu'aucun employé n’a la responsabilité entière d’une opération ou d’une série d'opérations. d) Contrôle interne : ensemble des règles et des contrôles qui régissent la structure organisationnelle de l'institution financière. y compris les procédures de notification et les fonctions de gestion des risques. de conformité et d’audit interne. e) Contrôle périodique : contrôle assumé par la fonction d'audit interne et qui consiste à examiner l’ensemble des activités, opérations. systèmes, fonctions et autres de l'institution financière et de ses filiales, selon un cycle temporel devant s’étendre sur un nombre d'exercices aussi limité que possible, en vue de fournir une évaluation indépendante des risques et de leur niveau de maitrise. f) Contrôle permanent : contrôle assumé par les fonctions de gestion des risques et de conformité qui consiste à examiner de façon continue la régularité et la sécurité des conditions d'exécution de l’ensemble des opérations par rapport aux règles internes et aux obligations légales et réglementaires. g) Dispositif d'alerte interne: processus permettant au personnel de l'institution financière de signaler au Conseil d'Administration ou au Comité d'audit des manquements ou des comportements illégaux et non éthiques tout en protégeant leur identité et en garantissant un traitement adéquat des signalements. h) Objectifs de l’institution financière : résultats concrets qu'une institution cherche à atteindre, dans son ensemble ou dans certaines de ses activités. Habituellement, les objectifs ont trait à une orientation stratégique de l'institution (les marchés ou les activités qu’elle vise), à son rendement financier (les indicateurs de rendement vers lesquels elle tend). à l'efficacité et à l’efficience opérationnelles de ses ressources. i) Politiques, procédures et méthodes relatives au blanchiment de capitaux et au financement du terrorisme : ensemble de dispositions prises par l'institution financière pour se protéger contre le risque de blanchiment de capitaux et de financement du terrorisme. j) Plan annuel d’audit : document préparé annuellement par le responsable de l’audit interne et approuvé par le conseil d'administration de l'institution financière qui définit les objectifs d'audit interne pour la période à l'étude. les activités. opérations. systèmes. fonctions et autres qui seront examinés et un calendrier de travail. k) Rapport d'exception : rapport signalant les situations dans lesquelles des contrôles ne sont pas respectés ou des pouvoirs sont outrepassés et permettant à l'institution financière de prendre des dispositions pour les corriger. [page 3] 1) Risque de blanchiment de capitaux : risque que l'institution financière soit utilisée à des fins de blanchiment de capitaux : situation qui peut engendrer des risques opérationnels et de réputation pour l'institution. m) Risque de concentration : risque inhérent à une exposition de nature à engendrer des pertes importantes pouvant menacer la solidité financière d’une institution financière ou sa capacité à poursuivre ses activités essentielles. Le risque de concentration peut découler de l’exposition envers : 1) des contreparties individuelles : 2) des groupes de contreparties liées : 3) des contreparties appartenant à un même secteur d'activité ou à une même région géographique : 4) des contreparties dont les résultats financiers dépendent d'une même activité ou d’un même produit de base. Ce risque inclut les expositions au bilan et au hors-bilan à caractère d'opérations de crédit ainsi que toutes autres opérations comportant des risques de contrepartie (opérations interbancaires, de marché, de change. etc.). n) Risque de crédit : risque encouru en cas de défaillance d’une contrepartie ou de contreparties d’un même groupe (apparentés). o) Risque de financement du terrorisme : risque que l'institution financière soit utilisée à des fins de financement d'activités terroristes : situation qui peut engendrer des risques opérationnels et de réputation pour l'institution. p) Risque de liquidité : risque pour l'institution financière de ne pas pouvoir s'acquitter, dans des conditions normales, de ses engagements à leurs échéances. q) Risque de non-conformité : risque de sanction judiciaire ou administrative, de perte financière significative ou d'atteinte à la réputation, qui nait du non-respect de dispositions propres aux activités bancaires et financières. qu’elles soient de nature législative ou règlementaire, ou qu’il s’agisse de normes professionnelles et déontologiques ou d'instructions de la direction générale prises notamment en application des orientations du conseil d'administration. r) Risque de règlement-livraison : risque de survenance, au cours du délai nécessaire pour le dénouement d’une opération de règlement-livraison, d’une défaillance ou de difficultés qui empêchent la contrepartie d’une institution financière de lui livrer les instruments financiers ou les fonds convenus, alors que ladite institution a déjà honoré ses engagements à l'égard de ladite contrepartie. s) Risque de taux d’intérêt : risque encouru en cas de variation des taux d'intérêt sur l’ensemble des opérations de bilan et de hors-bilan. à l'exception de celles qui sont couvertes par le dispositif de suivi des risques de marché. t) Risque lié aux activités externalisées : risque lié aux activités pour lesquelles l'institution financière confie à un tiers, de manière durable, la réalisation de & [page 4] prestations de services ou de tâches opérationnelles comportant des risques significatifs. u) Risque opérationnel: risque de pertes résultant de carences ou de défauts attribuables à des procédures, personnels et systèmes internes ou à des événements extérieurs. Cette définition inclut le risque juridique, mais exclut les risques stratégiques et de réputation. Les sources majeures des risques opérationnels sont liées aux : 1. fraudes internes et externes ; 2. pratiques inappropriées en matière d'emploi et de sécurité sur les lieux de travail : 3. pratiques inappropriées concernant les clients, les produits et l’activité commerciale: 4. dommages causés aux biens physiques : 5. interruptions d'activités et pannes de systèmes : 6. exécutions des opérations. livraisons et processus. v) Risque significatif : risque dont la réalisation est susceptible d’affecter le bon fonctionnement de l'institution par l'importance de son impact potentiel au plan financier, sur l’image, sur les objectifs ou les activités de l'institution et par sa probabilité de survenance. w) Système de contrôle interne : ensemble des règles et des contrôles qui, suivant le référentiel défini par le « Committee Of Sponsoring Organizations of the Treadway Commission » (COSO), régissent la structure organisationnelle et opérationnelle d’une institution financière, incluant les procédures de contrôle et d'alerte et les fonctions gestion des risques. de conformité et d'audit interne. x) Système d’information de gestion: système qui recueille et fournit des renseignements sur les activités d’une institution financière, sur sa situation et sur les risques auxquels elle s'expose, à l'intention des administrateurs et des dirigeants, pour permettre à ces derniers d'analyser ces informations et de prendre les mesures adéquates. Ce système doit également servir d'outil de lutte contre le blanchiment de capitaux et le financement du terrorisme. y) Vérificateur indépendant ou auditeur externe : cabinet d'expertise comptable dont les membres sont agréés par un ordre professionnel et nommé par le conseil d'administration aux fins d'effectuer l'audit de l'institution financière. z) Vérification annuelle de conformité : évaluation annuelle des mécanismes de lutte contre le blanchiment de capitaux et le financement du terrorisme effectuée par l’officier de conformité. , & [page 5] 2: Environnement et cadre de contrôle interne Le conseil d'administration de l'institution financière veille à la mise en place d'un environnement de contrôle adéquat, nécessaire à la réalisation des objectifs du système de contrôle interne. Un environnement de contrôle adéquat implique : a) l'engagement des organes de gouvernance à promouvoir l'intégrité et des valeurs éthiques au sein de l'institution ; b) l'instauration d'une culture qui met en évidence, à tous les niveaux de l'institution, l'importance du contrôle interne : c) l'implication effective du conseil d'administration et ou du comité d'audit dans le suivi des composantes du système de contrôle interne ; d) une définition claire et cohérente des missions, fonctions et responsabilités, y compris des délégations de pouvoirs explicites : e) l'existence d'un personnel compétent et d'un dispositif de gestion des ressources humaines permettant à l'établissement d'attirer, de développer et de maintenir des compétences en lien avec ses objectifs : f) une forte adhésion du personnel aux exigences de contrôle qui lui sont assignées ainsi qu'au devoir de rendre compte de ses responsabilités en la matière : g) un exercice du droit d’alerte interne permettant aux employés de lancer des signalements concernant des comportements illégaux et non éthiques. ce dans un environnement sécuritaire garantissant la protection de tout acte répréhensible à l'interne ou à l’externe. Toute institution financière ainsi que ses filiales consolidées doivent disposer d’un cadre de contrôle interne adéquat et efficace qui permette à l’institution de s'assurer que ses activités sont gérées et contrôlées de manière saine et prudente, et que les risques significatifs sont identifiés et maîtrisés de façon appropriée. Le cadre de contrôle interne consiste en : a) des administrateurs et des dirigeants qui comprennent bien leurs responsabilités et qui s’en acquittent avec loyauté et diligence en veillant à ce que les affaires de l'institution soient efficacement gérées et contrôlées dans le but d’atteindre les objectifs fixés : b) des administrateurs et des dirigeants qui sont régulièrement informés de l’évolution des activités. des risques significatifs ainsi que des résultats au moyen d’un système d’information de gestion qui fournit une information financière de qualité : c) un encadrement des activités des services opérationnels par une organisation. des règles et procédures sécurisant leurs conditions opératoires par des processus d’autocontrôle, de contrôles automatisés et de validation hiérarchique : d) un dispositif adéquat de gestion des risques et un système de contrôle permanent bien défini et adapté aux risques significatifs et opérations de l'institution financière : s & [page 6] ec) une fonction de conformité pour s'assurer du respect des dispositions légales et statutaires, notamment en matière de lutte contre le blanchiment de capitaux. le financement du terrorisme et le financement de la prolifération des armes de destruction massive, du respect de la responsabilité sociale de l'institution financière envers ses employés, son environnement et la communauté dans laquelle elle est implantée : f) une fonction d’audit interne ayant pour rôle, conformément aux normes définies par l'ITA, d'évaluer les processus de gouvernance de l'institution, du management des risques et de contrôle, de contribuer à leur amélioration sur la base d’une approche systématique, méthodique et fondée sur une approche basée sur les risques. de surveiller l'efficacité et la cohérence du système de contrôle interne et la qualité de l'information financière à usage interne ou externe, et d'assurer les suivis sur les constats relevés suite à toute situation problématique causée par le non-respect, l'insuffisance ou le manque de contrôle : g) une fonction de vérification indépendante qui permet de surveiller l'efficacité du système de contrôle interne et la structure mise en place en matière de lutte anti- blanchiment. 3. Canaux d’information et de communication Les canaux d'information et de communication établis au sein de l'institution financière doivent permettre à tout membre du personnel de disposer, à temps, des informations dont il a besoin pour effectuer les activités de contrôle qui lui sont assignées. Les systèmes d'information doivent, d'une part, couvrir toutes les activités importantes de l'établissement et, d'autre part, garantir la qualité des données et informations comptables, prudentielles. opérationnelles ou celles ayant trait au respect de la conformité. Ces données doivent être complètes, fiables. à jour, accessibles et présentées sous une forme cohérente pour faciliter le fonctionnement de toutes les composantes du contrôle interne. Les données archivées physiquement ou sous forme électronique doivent être disponibles pour inspection sur une période d’au moins dix (10) ans. Des procédures de sauvegarde des données et systèmes, de divulgation et de sécurité de l'information et de contrôle interne doivent être développées. L'institution financière est tenue d'établir un plan de contingence et de continuité de ses opérations. 4. Responsabilités des administrateurs et dirigeants à l’égard du système de contrôle interne Les administrateurs et dirigeants ont le devoir de veiller à la mise en place d’une culture de contrôle et au respect du système de contrôle interne de l'institution financière en dictant le caractère prioritaire et impératif des contrôles internes dans le fonctionnement opérationnel de l'institution, et en sensibilisant le personnel chargé de les élaborer, de les appliquer et de les surveiller. 7 6 [page 7] Les administrateurs et les dirigeants ont la responsabilité de s'assurer que le contrôle interne de l'institution financière dispose des ressources, de l'indépendance et de l’autorité nécessaires pour assurer la maitrise des risques significatifs auxquels est exposée l'institution financière et éviter tout acte pouvant compromettre la continuité de l'exploitation, notamment en ce qui a trait au blanchiment de capitaux et au financement du terrorisme. Les administrateurs et dirigeants doivent comprendre la structure de l’actionnariat et l’organisation du groupe, le cas échéant, ainsi que les objectifs et les activités de toutes les sociétés dudit groupe, aussi bien sur le territoire national qu’à l’étranger., et les liens et relations entre elles et avec la société mère. Les administrateurs doivent définir les orientations stratégiques de l'institution et le degré d’appétence pour le risque. Ils doivent approuver la stratégie et la politique en matière de risques, s'assurer que les transactions avec les apparentés, y compris les opérations intra- groupe, sont identifiées, évaluées et soumises à des restrictions appropriées. Ils doivent veiller à la mise en place d’un système efficace de communication interne et de diffusion de l'information couvrant la stratégie en matière de risques et le niveau d’exposition. Les administrateurs doivent veiller à la mise en place d’un dispositif de mesure, de maitrise et de surveillance des risques conformément aux règles définies dans la présente circulaire. Les administrateurs doivent veiller à la mise en place d’un dispositif de pilotage intégré et harmonisé au sein du groupe, le cas échéant. assurant une surveillance effective des activités et des risques des filiales locales et à l’étranger. Les administrateurs doivent procéder au moins une fois l’an à l’examen du dispositif de contrôle interne et se prononcer sur l’atteinte des objectifs de maitrise des risques. 5. Système de contrôle interne La portée et les caractéristiques d’un système de contrôle interne assurant une gestion saine et prudente peuvent différer d’une institution financière à l’autre pour plusieurs raisons. notamment : la nature et la diversité des activités, le volume, la taille et la complexité des opérations, le niveau de risque lié aux activités et opérations, le degré de centralisation ou de délégation des pouvoirs ainsi que l’envergure et l’efficacité de la technologie d’information utilisée. Les principes de base énoncés à l’annexe I de la présente circulaire doivent être respectés lors de la mise en place d’un système de contrôle interne. Les institutions financières qui contrôlent de manière exclusive ou conjointe d’autres entités à caractère financier doivent s’assurer que les systèmes de contrôle interne mis en place au sein de ces dernières soient cohérents et compatibles entre eux de manière à permettre notamment une surveillance et une maitrise des risques au niveau du groupe. Ils 7 7 [page 8] s’assurent également que les systèmes de contrôle interne susvisés sont adaptés à l’organisation du groupe ainsi qu’à la nature des entités contrôlées. Les institutions financières s’assurent que les systèmes de contrôle interne mis en place au sein de la maison mère soient : a) cohérents et compatibles de manière à permettre une surveillance et une maitrise des risques au niveau du groupe et la production des informations requises par la BRH dans le cadre de la surveillance consolidée de l'institution financière : b) adaptés à l’organisation du groupe ainsi qu’à l’activité des entités contrôlées. 6. Organisation du système de contrôle interne Le contrôle interne d’une institution financière doit comporter trois niveaux : 1) Un contrôle corrélatif dont la responsabilité incombe aux cadres responsables, qui s'effectue dans le cadre même des activités et des opérations de manière à assurer leur bon déroulement, leur exactitude et leur conformité aux procédures mises en place et en fonction de la nature, de l’importance et des risques associés à chacune des activités et des opérations. 2) Un contrôle permanent qui incombe à la fonction de gestion des risques et à celle de la conformité et qui s'assure, au moyen de dispositifs adéquats mis en œuvre en permanence, de la fiabilité et de la sécurité des opérations réalisées et du respect des procédures par les différentes structures de l'institution financière. 3) Un contrôle périodique qui s'effectue par une fonction spécifique directement rattachée au président du conseil d'administration ou au président du comité d’audit, le cas échéant. Cette fonction est généralement appelée audit interne. Suivant la taille de l'institution, les responsabilités du contrôle permanent et du contrôle périodique peuvent ne pas incomber à des personnes différentes. Lors, ces responsabilités peuvent être assurées, sous réserve de la non-objection de la BRH, soit par une seule personne, soit directement par la direction générale. La demande transmise à la BRH doit comporter un descriptif de l’organisation et des modalités d'exercice du contrôle interne dans ce cadre, en vue de garantir le bon accomplissement de ces fonctions. Toute institution financière, eu égard à sa taille, doit préparer et tenir à jour un document. généralement qualifié de « Charte de contrôle interne », qui précise les objectifs et les moyens destinés à assurer les différentes fonctions de contrôle interne. Ce document présente de manière claire les éléments suivants : a) la description du rôle, des pouvoirs, des responsabilités et de l’organisation des différentes fonctions de contrôle, les interrelations entre celles-ci, ainsi que les dispositions qui permettent d’en assurer l’indépendance : b) les moyens mis à leur disposition afin de leur permettre de remplir efficacement leur rôle : c) leurs attributions et les conditions de réalisation des contrôles à exercer : 8 Fa [page 9] d) les procédures de formalisation et de diffusion des résultats des contrôles effectués : e) le processus de suivi des recommandations émises. Au plus tard quarante-cinq (45) jours après la fin de l'exercice fiscal, les responsables des différentes fonctions de contrôle permanent et périodique établissent, chacun pour leur part et selon le format défini par la BRH à l'annexe IL, un rapport sur les conditions dans lesquelles ces fonctions sont assurées. Ce rapport comprend notamment : i) un exposé des principaux risques et des systèmes de mesure et de surveillance mis en œuvre ; ii) une description des conditions d'organisation de chaque fonction, des moyens alloués, et des modifications significatives apportées par rapport à l’année précédente : iii) l'inventaire des principales actions menées. faisant ressortir les principaux résultats, constats et enseignements : iv) une présentation des principales actions projetées. Ce rapport est communiqué pour examen et avis, le cas échéant, au comité de gestion des risques et au comité d'audit, et soumis au conseil d'administration, qui en délibère spécialement. 7. De la fonction de gestion des risques La fonction de gestion des risques est chargée d’assurer en permanence et par des moyens dédiés à l'identification. la mesure, la surveillance et la maîtrise des risques de l'institution financière. Le responsable de la fonction de gestion des risques doit relever de la direction générale, et avoir accès en tant que de besoin au conseil d'administration et/ou au comité de gestion des risques. La fonction de gestion des risques doit disposer des moyens suffisants en termes de personnel, de systèmes d’information et d'accès aux informations internes et externes nécessaires pour mener à bien sa mission. Le responsable de la gestion des risques doit alerter le comité de gestion des risques et la direction générale de toute situation susceptible d’avoir des répercussions significatives sur la maitrise des risques. Au plus tard trente (30) jours après la fin de chaque trimestre de l’exercice fiscal de l'institution financière, le responsable de la fonction de gestion des risques doit préparer un rapport trimestriel d'activité à l'intention du conseil d'administration. Ce rapport doit être officiellement discuté à une réunion du conseil d'administration ou du comité de gestion des risques. Le rapport trimestriel d'activité inclut les informations suivantes : a) une description des activités menées durant le trimestre : b) une description de l’impact des manquements ou des insuffisances, les redressements requis et leur calendrier de mise en place ; 9 [page 10] c) un suivi de la mise en œuvre effective des actions visant à remédier à tout dysfonctionnement dans la mise en œuvre des mesures d’atténuation de risques. 8. De la fonction de conformité Les institutions financières doivent se doter d’un dispositif de contrôle de la conformité, chargé du suivi du risque de non-conformité. C’est une structure indépendante des entités opérationnelles. Les institutions financières doivent désigner un officier de conformité chargé de veiller à la cohérence et à l'efficacité du contrôle du risque de non-conformité dont elles communiquent l'identité à la BRH. Ce cadre responsable ne doit effectuer aucune opération commerciale, financière ou comptable pour éviter tout conflit d'intérêts potentiel. Ce responsable peut avoir la charge de la fonction de gestion des risques selon la taille et la complexité des activités de l'institution financière, sur accord de la BRH. Le responsable de la fonction de conformité relève du conseil d'administration, et doit avoir accès en tant que de besoin au comité spécialisé en charge des questions de conformité. La fonction de conformité doit disposer des moyens nécessaires pour mener à bien sa mission. Les institutions financières s’assurent de mettre en place des procédures permettant de suivre et d'évaluer la mise en œuvre effective des actions visant à remédier à tout dysfonctionnement dans la mise en œuvre des obligations de conformité. Les institutions financières assurent à tous les membres de leur personnel concernés une formation aux procédures de contrôle de la conformité, adaptée aux opérations qu'ils effectuent. Les institutions financières veillent à ce que leurs filiales mettent en place des dispositifs de contrôle de la conformité de leurs opérations. Au plus tard trente (30) jours après la fin de chaque trimestre de l'exercice fiscal de l'institution financière, le responsable de la fonction de conformité doit préparer un rapport trimestriel d’activité à l'intention du conseil d'administration. Ce rapport doit être officiellement discuté à une réunion du conseil d'administration ou du comité en charge des questions de conformité. Le rapport trimestriel d'activité inclut les informations suivantes : a) une description des activités menées durant le trimestre ; b) une description de l'impact des manquements ou des insuffisances, les redressements requis et le calendrier de mise en place des redressements : c) un suivi de la mise en œuvre effective des actions visant à remédier à tout dysfonctionnement dans la mise en œuvre des obligations de conformité ; 10 74 [page 11] d) un suivi des mécanismes mis en place dans le cadre de la lutte contre le blanchiment de capitaux et le financement du terrorisme en fonction du profil de risque de l'institution. 9. De l’audit interne Toute institution financière doit se doter d’une structure d'audit interne qui fonctionne de manière indépendante par rapport à l’ensemble des structures de l'institution financière, qui assure un contrôle périodique régulier des systèmes de contrôle corrélatif et permanent et qui veille à la cohérence de l’ensemble, conformément aux normes définies par l'IIA. Le responsable de la fonction d’audit interne relève du conseil d'administration, et doit avoir accès en tant que de besoin au comité d'audit. L'’audit interne doit établir un programme pluriannuel d'audit devant s'étendre sur un nombre d'exercices aussi limité que possible et assurant un examen de l’ensemble des activités, opérations, systèmes, fonctions et autres de l'institution financière et de ses filiales, le cas échéant. La fonction d'audit interne doit disposer des moyens nécessaires pour mener à bien son programme d'audit. Au plus tard trente (30) jours avant le début du nouvel exercice fiscal de l'institution financière, le responsable de l’audit interne doit établir et faire approuver par le conseil d'administration un plan annuel d'audit établi sur la base du programme pluriannuel. Le plan annuel d’audit doit présenter les objectifs des missions d’audit pour l’exercice à venir, détailler les opérations, activités, systèmes, fonctions ou autres qui feront l’objet d’une mission et définir le calendrier de travail comportant l’échéancier des travaux de planification, d'exécution et de communication des résultats. Le plan annuel d’audit doit être transmis à la BRH, quinze (15) jours au plus tard après son approbation par le conseil d'administration. Tout manquement observé ou toute insuffisance constatée par l'audit interne lors d’une mission d'audit doit faire l’objet d’un rapport écrit et d’un plan de redressement assorti d’un calendrier de mise en place des mesures correctrices. Le conseil d’administration ou, le cas échéant, le comité d’audit doit recevoir une copie de tous les rapports d'audit. Le responsable de la fonction d’audit interne informe en outre le responsable de la fonction de conformité de toute insuffisance liée à la gestion du risque de non-conformité. Au plus tard trente (30) jours après la fin de chaque trimestre de l’exercice fiscal de l'institution financière, le responsable de la fonction d’audit interne doit préparer un rapport trimestriel d’activité à l'intention du conseil d'administration. Ce rapport doit être officiellement discuté à une réunion du conseil d'administration ou du comité d’audit. Le rapport trimestriel d’activité inclut les informations suivantes : a) une description des activités menées durant le trimestre ; 11 °4 [page 12] b) les principales conclusions de chacune des missions d'audit réalisées et une description de l'impact des manquements ou des insuffisances, les redressements requis et leur calendrier de mise en œuvre ;: c) un suivi du plan annuel d'audit qui fait le point sur son degré d'avancement et les activités planifiées pour le prochain trimestre : d) un suivi des mécanismes mis en place dans le cadre de la lutte contre le blanchiment de capitaux et le financement du terrorisme en fonction du profil de risque de l'institution. 9.1.Des compétences et de la rigueur professionnelle des auditeur internes En fonction de ses activités, de sa taille, de sa complexité et de son profil de risque, une institution financière doit se doter d’un auditeur ou d’une fonction d’audit disposant individuellement ou collectivement de compétences suffisantes pour pouvoir contrôler tous les domaines d'activités de ladite institution. Cette dernière doit prendre les dispositions appropriées pour que le ou les auditeurs maintiennent à jour leurs connaissances, à travers des programmes de formation annuelle. Le responsable de l’audit interne est tenu de solliciter l’assistance de ressources qualifiées et indépendantes si les auditeurs internes ne possèdent pas les connaissances et le savoir-faire nécessaires pour s'acquitter d'une partie de leur mission. Un auditeur interne doit posséder les connaissances et le savoir-faire nécessaires à l'exercice de ses responsabilités. Il doit effectuer son travail avec diligence, objectivité et intégrité. A cet égard, il doit : a) avoir une attitude impartiale et dépourvue de préjugés : b) maintenir la confidentialité des informations reçues dans l'exercice de sa mission: c) éviter les conflits d'intérêts : d) respecter le code de déontologie qui lui est applicable. 10. Des comités spécialisés de contrôle Les banques dont la part du marché des dépôts totaux est de 10% ou plus sont tenues de constituer au sein de leur conseil d'administration un comité d’audit, un comité de gestion des risques, un comité des nominations et un comité des rémunérations. Les autres institutions financières doivent se doter soit d’un comité de gestion des risques et d’un comité d’audit distincts, soit d’un unique comité regroupant les attributions de ces deux comités. Elles peuvent se doter volontairement d’autres comités spécialisés en fonction de leurs activités, de leur taille, de leur complexité et de leur profil de risque. Les administrateurs siégeant dans ces comités doivent disposer individuellement ou collectivement des expériences et compétences appropriées et d’une connaissance suffisante de la structure opérationnelle de l'institution financière et de son groupe. Pour la constitution des comités spécialisés, le conseil d’administration peut s’adjoindre une ou des personnes externes à l'institution financière, non apparentées, qualifiées et compétentes. 12 L [page 13] 10.1. Comité d'audit Le comité d’audit est chargé d'assister le conseil d'administration en matière de contrôle interne. Ses membres doivent collectivement disposer d’une combinaison équilibrée de compétences et d'expertise ainsi qu'une expérience pertinente dans les domaines de l'audit, de l’information financière et de la comptabilité. Ce comité a notamment pour attributions de : a) définir les politiques d'audit interne et d’information financière : b) porter une appréciation sur la qualité du système de contrôle interne : c) évaluer la pertinence des mesures correctrices prises ou proposées pour combler les lacunes ou insuffisances décelées dans le système de contrôle interne : d) recommander au conseil d'administration la nomination du vérificateur indépendant : e) vérifier la fiabilité et l'exactitude des informations financières destinées au conseil d'administration et aux tiers : f) approuver le programme pluriannuel et le plan annuel d’audit et apprécier les moyens humains et matériels alloués à la fonction d’audit interne ; g) prendre connaissance des rapports et des recommandations du responsable de la fonction d’audit interne et du vérificateur indépendant ainsi que des mesures correctrices prises ; h) rencontrer le vérificateur indépendant pour discuter des états financiers vérifiés et de ses recommandations à l’égard du renforcement du système de contrôle interne et du dispositif de gestion des risques : i) être informé de toute communication échangée entre l'institution financière et le vérificateur indépendant : j) surveiller la mise en place des principes et pratiques comptables par l'institution : K) passer en revue le rapport annuel de l'institution financière avant son approbation par le conseil d'administration : 1) passer en revue les états financiers mensuels de l'institution financière et les comparer au budget : m) être informé de toute communication échangée entre l'institution financière et la BRH : n) rencontrer au moins une fois par an les responsables de la gestion de risques, de la conformité, et de l’audit interne pour discuter des recommandations produites dans le cadre de leurs missions. Le comité d’audit se réunit au moins une fois par trimestre. 10.2. Comité de gestion des risques Le comité de gestion des risques est chargé de conseiller et d’assister le conseil d'administration dans le pilotage et la supervision de l’ensemble des risques auxquels l'institution peut être exposée, notamment les risques de crédit, de marché, opérationnels et de réputation, ainsi que le risque de non-conformité sauf dévolution de cette responsabilité à un comité ad hoc. s © [page 14] Le comité a notamment pour attributions de : a) conseiller le conseil d'administration concernant la stratégie en matière de risques et le degré d’appétence aux risques : b) s’assurer que le niveau des risques encourus est contenu dans les limites fixées conformément au degré d’appétence aux risques : c) veiller à ce qu’un ensemble complet de dispositif de gestion des risques soit mis en place, appliqué et surveillé : d) évaluer la qualité du dispositif d'identification, mesure, maitrise et surveillance des risques au niveau de l'institution et, le cas échéant, du groupe ; e) surveiller les stratégies de gestion de la liquidité et des fonds propres. et plus généralement les stratégies relatives à tous les risques auxquels l'institution financière est exposée, notamment les risques opérationnels, afin de s’assurer de leur cohérence avec l’appétence pour le risque telle qu’établie : f) s'assurer de l'adéquation des systèmes d’information eu égard aux risques encourus : g) réviser les expositions sur base individuelle et, le cas échéant, consolidée : h) réviser les risques émergents susceptibles de devenir significatifs et qui méritent une analyse approfondie : i) apprécier les moyens humains et matériels alloués à la fonction de gestion des risques et veiller à son indépendance. Le comité des risques se réunit au moins une fois par trimestre. 10,3. Comité des nominations Le comité des nominations est chargé d'assister le conseil d'administration dans le processus de nomination et de renouvellement de ses membres et ceux de la haute direction. Il doit analyser le rôle et les responsabilités de l’administrateur ou du dirigeant ainsi que les connaissances, l'expérience et les compétences que le poste suppose. Il surveille les politiques de l'institution financière en matière de ressources humaines. Il identifie, traite, voire élimine les situations de conflits d'intérêts dans le cadre du processus de nomination. Le comité des nominations se réunit au cas par cas, et au moins une fois par an. 10.4. Comité des rémunérations Le comité des rémunérations est chargé de surveiller l’élaboration et la mise en œuvre du système de rémunération de l'institution financière. Il doit en outre veiller à ce que le système de rémunération soit approprié, qu’il corresponde au degré d’appétence pour le risque de l'institution, aux activités. à la performance et au système de contrôle interne. Il procède à cet examen au moins une fois par an. Il est saisi de toute modification ou dérogation significative à la politique de rémunération de l'institution. 4 [page 15] 11. Dispositifs de mesure, de maitrise et surveillance des risques Les dispositifs de mesure, de maîtrise et de surveillance des risques doivent permettre aux institutions financières de s’assurer que : 1) l'ensemble des risques encourus par l'institution, notamment les risques de crédit. de concentration de crédit, de taux d'intérêt, de liquidité, de règlement-livraison, opérationnels et de non-conformité, ainsi que les risques liés aux activités externalisées, sont correctement évalués et maîtrisés : 2) des processus d'évaluation de l'adéquation globale des fonds propres au regard de ces risques sont mis en place. 11.1. Évaluation des risques et de l'adéquation globale des fonds propres Les dispositifs d'évaluation des risques et de l'adéquation globale des fonds propres doivent être adaptés à la nature, au volume et au degré de complexité des activités de l'institution financière. Les institutions financières doivent disposer de stratégies comportant la définition d'objectif interne de fonds propres. Ces derniers doivent être en adéquation avec leur profil de risque et cohérents avec les plans stratégiques de développement. Les institutions doivent mettent en place des systèmes et processus fiables, exhaustifs et prospectifs pour évaluer et conserver en permanence les niveaux et les catégories des fonds propres adéquats compte tenu de la nature et du niveau des risques auxquels elles sont, ou pourraient être, exposées. Les systèmes et processus doivent être documentés et révisés régulièrement. Ils doivent permettre d'assurer un compte-rendu périodique au conseil d'administration sur l'adéquation des fonds propres au profil des risques et sur les écarts par rapport aux fonds propres existants. Le processus d'évaluation interne de l'adéquation des fonds propres doit se fonder sur des hypothèses réalistes concernant le besoin en fonds propres et l'évaluation de leur adéquation avec le profil de risque de l'institution. Les institutions financières doivent relever et expliquer les similitudes et les divergences entre leurs évaluations internes des besoins en fonds propres et les exigences réglementaires en fonds propres. 11.2. Évaluation des risques Les risques de crédit, de marché, de taux d'intérêt, de concentration, de liquidité et de règlement-livraison doivent être maintenus dans des limites globales approuvées par le conseil d’administration. Les dispositifs de mesure, de maitrise et de surveillance des risques doivent être adaptés à la nature, au volume et au degré de complexité des activités de l'institution financière. + 4 [page 16] Les limites individuelles doivent être établies de manière cohérente avec les différentes limites globales. Ces limites sont revues, autant que nécessaire et au moins une fois par an, en tenant compte notamment, du niveau des fonds propres de l'institution. Le contrôle du respect des limites est effectué de façon régulière et donne lieu à l'établissement d’un compte-rendu à l'attention du conseil d'administration. Ce compte- rendu comporte, le cas échéant, une analyse des raisons ayant motivé les dépassements ainsi que, s’il y a lieu, des propositions et/ou recommandations d’actions correctrices. Les institutions financières doivent procéder à un réexamen régulier des systèmes de mesure des risques et de détermination des limites afin d’en vérifier la pertinence au regard de l’évolution de l’activité, de l’environnement des marchés et des techniques d'analyse. Toute banque dont la part du marché des dépôts totaux est de 10% ou plus doit s’assurer que des tests indépendants de résistance à des hypothèses défavorables (stress-tests) soient effectués tous les douze (12) mois, en fonction du profil de risque de l'institution. 11.2.1. Risque de crédit Le dispositif de mesure, de maîtrise et de suivi du risque de crédit doit assurer que les risques auxquels est exposée l'institution financière, en cas de défaillance de contreparties, sont correctement évalués et régulièrement suivis. Les critères d'appréciation du risque de crédit ainsi que les attributions des personnes et des organes habilités à engager l'institution doivent être définis et consignés par écrit. Ces critères doivent être adaptés aux caractéristiques de l'institution, en particulier, sa taille, la nature et la complexité de ses activités. Les institutions financières doivent mettre en place des procédures d'approbation de l'extension, du renouvellement et de la restructuration des crédits. Elles doivent également mettre en place un dispositif de gestion et d’évaluation des garanties détenues en contrepartie des crédits. Les demandes de crédit doivent être étayées par la constitution de dossiers comprenant les informations quantitatives et qualitatives requis par la BRH. Les dossiers de crédit sont mis à jour au moins annuellement. L'évaluation du risque de crédit doit prendre en compte la nature des activités exercées par le demandeur de crédit, sa situation financière, sa capacité de remboursement, la surface patrimoniale des principaux actionnaires ou associés pour les personnes morales, l’objet du crédit et les garanties proposées, le cas échéant. Elle tient compte de toute information permettant une appréciation plus complète du risque. Pour l’évaluation du risque de crédit, les institutions financières peuvent attribuer une note à leurs contreparties, en utilisant un système de notation fiable et qui permet une différenciation valable et une quantification précise et cohérente des risques. La note doit être révisée au moins une fois par an, et lors de chaque décision d’octroi ou de renouvellement de crédit ou en cas de survenance d'événements entraînant une modification significative du risque. Le système de notation doit faire l’objet d’une revue régulière afin d’évaluer sa performance. is &7 [page 17] Les décisions d'octroi et de renouvellement de crédit doivent prendre en considération la rentabilité globale des opérations effectuées avec le client à travers l'analyse prévisionnelle des charges et produits y afférents. 11.2.2. Risque de concentration Les institutions financières doivent se doter de dispositifs d'identification des contreparties liées. et de mesure, de maîtrise et de surveillance du risque de concentration. Les risques de crédit encourus sur une même contrepartie individuelle ou groupe de contrepartie liée sont recensés et centralisés au minimum hebdomadairement. Ceux encourus par secteur économique, zone géographique, devise, type de garantie, le sont au moins une fois par mois. 11.23. Risque de taux d'intérêt Les institutions financières doivent se doter de dispositifs de mesure, de maîtrise et de surveillance du risque de taux d'intérêt qui permettent notamment de : 1) couvrir les principales sources de ce risque : 2) évaluer les effets des évolutions des taux d'intérêt sur les résultats et sur les fonds propres : 3) s'appuyer sur des concepts financiers et techniques de mesure des risques communément acceptés, et reposant sur des hypothèses et paramètres documentés. explicités et parfaitement compris. Les positions et les flux certains et prévisibles résultant de l’ensemble des opérations de bilan et de hors bilan doivent être correctement mesurés et faire l’objet d’une surveillance régulière. De même, l’ensemble des facteurs de risque global de taux d'intérêt ainsi que leur impact sur les résultats et les fonds propres doivent être identifiés et évalués. Les risques de taux d'intérêt doivent être agrégés périodiquement afin que le conseil d'administration et la direction générale disposent d’une vue globale sur ces risques. Les institutions financières doivent envisager des scénarios de crise, notamment de fortes variations des taux d'intérêt et des positions sensibles au taux. et mesurer leur impact sur le résultat et les fonds propres. 11.2.4. Risque de liquidité Les institutions financières doivent se doter de dispositifs de mesure, de maîtrise et de surveillance du risque de liquidité qui permettent de: 1) s'assurer qu'elles sont en mesure de faire face, à tout moment, à leurs exigibilités et d’honorer leurs engagements de financement envers la clientèle : 2) évaluer le risque de liquidité sur les principales devises sur lesquelles elles se sont engagées et de prévoir un plan de secours en cas de crise de liquidité ; 17 & [page 18] 3) s'appuyer sur des concepts financiers et techniques de mesure des risques communément acceptés et reposant sur des hypothèses et paramètres documentés, explicités et parfaitement compris. Les institutions financières doivent élaborer des procédures pour évaluer et suivre, de manière permanente, les besoins nets de liquidité. L'analyse de ces besoins implique la mise en place d’un échéancier permettant le calcul de l'excédent ou du déficit de liquidité au jour le jour et sur des tranches d’échéances. L'élaboration d’un tel échéancier doit être fondé sur des hypothèses étayées du comportement futur des différents postes de l’actif, du passif et du hors bilan notamment pour les postes à échéances incertaines. Les institutions financières doivent analyser leur liquidité en utilisant une série de scénarios de crise et mesurer leur impact sur le résultat et les fonds propres ainsi que sur la conduite normale de l’activité. Celles qui effectuent des transactions significatives en devises procèdent à des simulations de crise spécifiques pour tester leurs stratégies en matière de liquidité. 11.2.5. Risque de règlement- livraison Les institutions financières doivent se doter de dispositifs de mesure, de maîtrise et de surveillance du risque de règlement-livraison. Ces dispositifs doivent permettre de s'assurer que les différentes phases du processus de règlement-livraison et les risques afférents sont identifiés et font l’objet d’une attention particulière. notamment l'heure limite, le cas échéant, pour l'annulation unilatérale de l'instruction de paiement et le nombre de jours ouvrables entre la réception effective des fonds relatifs à l'instrument acheté et le moment où la réception de ces fonds ou instruments est confirmée. 11.2.6. Risques opérationnels et plan de continuité de l’activité Les institutions financières doivent se doter de dispositifs de mesure, de maîtrise et de surveillance des risques opérationnels qui prévoient au moins, les éléments suivants : 1) la définition, les objectifs et les principes de gestion des risques opérationnels ; 2) le niveau acceptable et les procédures de contrôle de ces risques ; 3) les responsabilités et les systèmes de rapports à tous les niveaux de gestion ; 4) l'information sur les événements significatifs et les pertes résultant des risques opérationnels : 5) les conditions dans lesquelles ces risques peuvent être transférés à une entité externe, notamment par voie d'assurance. Les institutions financières doivent établir une cartographie des risques opérationnels comportant l'inventaire des risques encourus par l'institution, l'identification des risques significatifs, l'évaluation du niveau de risque inhérent, la description des dispositifs de maitrise et l’évaluation de leur efficacité, et l'évaluation du risque résiduel afin d'identifier les dispositifs et les plans d'actions à mettre en place. Elles doivent mettre en place un dispositif de recensement des incidents opérationnels et veiller à informer le conseil d'administration sur tous les incidents significatifs détectés. 18 2 [page 19] Les institutions financières doivent disposer d’un plan de continuité de l’activité leur permettant d'assurer le fonctionnement continu de leurs activités et de limiter les pertes en cas de perturbations dues à des événements majeurs liés aux risques opérationnels. Le plan de continuité de l’activité est un plan d’action écrit et complet qui expose les procédures et les systèmes nécessaires pour poursuivre ou rétablir les opérations de l'institution financière de façon planifiée en cas de perturbations opérationnelles. Un responsable du plan de continuité de l’activité doit être nommé afin d'assurer la mise en œuvre des mesures liées à ce plan. L'efficacité de ce dernier doit être évaluée au moyen de tests dont la fréquence, la profondeur et le détail sont fonction de l'importance des risques liés aux éléments testés. Les résultats de ces tests doivent servir à la modification, le cas échéant, du plan initial. 11.2.7. Risques liés aux activités externalisées La BRH doit être préalablement informée, avant décision de lancement, de tout projet d’externalisation d'activités relevant du périmètre d'agrément d’une institution financière ou de prestations de services concourant à ces activités, dès lors que le projet est susceptible d’avoir un effet significatif sur la maîtrise des risques. La BRH peut avoir accès, à tout moment, aux informations relatives aux activités externalisées. Les institutions financières prennent les mesures nécessaires pour s’en assurer. Pour l'externalisation de leurs activités, les institutions financières doivent : 1) élaborer un plan d’affaires comportant une analyse des objectifs, des avantages, coûts et risques de l’externalisation, avec avis de la fonction de gestion des risques : 2) choisir le prestataire externe avec la vigilance et la prudence nécessaires en tenant compte de sa santé financière, de sa réputation et de ses capacités techniques et de gestion. Une attention particulière devra être accordée au risque de dépendance et aux conditions de réversibilité lorsque des activités ou fonctions sont confiées à un seul prestataire pendant une période prolongée ; 3) mettre en place une politique formalisée d'évaluation et de contrôle des risques d’externalisation et des relations avec les prestataires externes : 4) gérer les activités externalisées dans le cadre de contrats écrits qui décrivent clairement tous les aspects matériels de l'accord d'externalisation, notamment les droits, les responsabilités et les attentes de toutes les parties ; 5) s'assurer que les accords d’externalisation ne réduisent pas la capacité de l'institution financière à respecter ses engagements vis-à-vis de ses clients et de la BRH : 6) évaluer dans quelle mesure le prestataire externe dispose de plans d’urgence qui sont en adéquation avec leurs propres exigences en matière de continuité de l’activité. Cette évaluation doit s’appuyer sur un examen approprié de ces plans et 19 &7 [page 20] tenir compte de la fréquence et des méthodes de tests pratiqués ainsi que des conséquences qui en découlent pour les plans d'urgence de l'institution financière ; 7) prendre des mesures appropriées pour exiger que le prestataire de services protège l'information confidentielle de l'institution financière et de ses clients contre toute divulgation aux personnes non autorisées : 8) s’assurer que l’audit interne et la BRH ont accès aux informations sur les activités externalisées, y compris sur place. 11.2.8. Risques liés aux nouveaux produits Les institutions financières doivent se doter de dispositifs de mesure, de maitrise et de surveillance des risques liés aux nouveaux produits et activités ainsi qu'aux changements majeurs dans les produits existants. A cet effet, les institutions financières doivent notamment s'assurer : a) de la définition des conditions requises pour la conception d’un nouveau produit, en particulier sa description, l’analyse de l’impact des risques qui en découlent, l'identification des ressources techniques et humaines nécessaires : b) de la compréhension par les administrateurs et dirigeants des risques inhérents aux nouveaux produits : c) de l'approbation, par le conseil d'administration ou par un comité créé à cet effet, de tout nouveau produit qui s’écarte de la stratégie des risques préalablement établie ainsi que de la mise en place de procédures d'identification des risques ; d) du report du lancement des produits ou activités qui ne seraient pas correctement traités par la fonction de gestion des risques. 12. Disponibilité de renseignements pour la BRH Les institutions financières doivent mettre, entre autres, à la disposition de la BRH les documents et informations suivants : a) la charte de contrôle interne : b) les rapports trimestriels respectifs des fonctions de gestion de risques, conformité et audit interne : c) le programme pluriannuel et le plan annuel d’audit interne ; d) le procès-verbal du conseil d'administration ayant approuvé le rapport annuel sur le système de contrôle interne. 13. Rapports Les institutions financières sont tenues de faire parvenir à la BRH, sous forme électronique, les rapports suivants : e Rapport annuel sur le système de contrôle interne (Annexe IT) Délai de soumission : 90 jours après la fin de l’exercice fiscal 20 V4 [page 21] + Plan annuel d’audit interne Délai de soumission : 15 jours après l'approbation du conseil d’administration 14. Sanctions Dans le cadre de sa mission de contrôle, la BRH peut exiger d’une institution financière qu’elle redresse toute situation relative à : a) des insuffisances de contrôles internes relevées par le contrôle permanent, l’audit interne, le vérificateur indépendant ou la BRH elle-même : b) des manquements aux principes de base d’un bon système de contrôle interne définis à l’annexe I de la présente circulaire. A défaut de fournir, dans le délai requis, les rapports prévus à la section 12 de la présente circulaire, l'institution financière est assujettie à une pénalité de cinquante mille gourdes (HTG 50,000.) par jour d'infraction. La période de pénalité s’étend du jour de l’infraction jusqu’à celui où les renseignements sont mis à la disposition de la BRH. Toute amende sera déduite du solde de l'un des comptes de l'institution fautive à la BRH. 15. Dispositions transitoires Un délai d’une année est accordé aux institutions de microfinance, aux maisons de transfert et aux bureaux de change en activité avant la publication de cette circulaire pour se conformer complètement aux dispositions de celle-ci à compter de sa date d’entrée en vigueur. 16. Abrogation et entrée en vigueur Les dispositions de la présente circulaire remplacent celles de la Circulaire No. 89-2 du 5 octobre 2020 ainsi que celles de la note additionnelle du 27 mars 2024 et entrent en vigueur le 5 janvier 2025. Port-au-Prince, le 20 novembre 2025 AR Gouverneur 21 [page 22] Liste des annexes Annexe I : Principes de base d’un système de contrôle interne Annexe II : Format du rapport annuel sur le contrôle interne 22 [page 23] ANNEXE I PRINCIPES DE BASE D'UN SYSTÈME DE CONTROLE INTERNE Le système de contrôle interne en place doit être cohérent et s'étendre à toutes les entités faisant partie de l'institution financière. Toute institution financière est donc tenue de prendre les mesures nécessaires pour garantir la stricte application des politiques, procédures et méthodes en vigueur spécialement celles relatives au blanchiment de capitaux et au financement du terrorisme. Une institution financière doit concevoir son système de contrôle interne selon les principes de base suivants, indépendamment des modalités d’application : 1- Une structure administrative adéquate Recenser et suivre l’évolution des fonctions et des risques : a) Élaborer un organigramme détaillé selon les fonctions commerciales. administratives et financières : b) Inventorier l’ensemble des risques et leur interdépendance ; c) Établir un mécanisme permettant de déceler et d'évaluer en permanence les risques significatifs auxquels l’institution s’expose ainsi que leurs répercussions possibles sur sa situation ; d) Établir un mécanisme permettant de déceler et de prévenir le blanchiment de capitaux et le financement du terrorisme. Définir explicitement jusqu’à quels niveaux il convient de déléguer les pouvoirs d’approbation en toute prudence : a) Établir une délimitation claire des responsabilités et des niveaux d'exercice des pouvoirs afin que les décisions soient prises par des personnes habilitées à le faire et capables d’en évaluer les répercussions : b) Adapter la délégation des pouvoirs en fonction de la taille de l'institution financière, le type de risque évalué, l'expérience des administrateurs et dirigeants et leur niveau d’implication dans les opérations quotidiennes et le contrôle exercé sur celles-ci : c) Communiquer la délégation de pouvoirs en précisant quel pouvoir est délégué, à quelles directions, services, postes, personnes ou comités : le pouvoir est délégué, si les délégataires sont eux-mêmes habilités à déléguer à nouveau le pouvoir et quelles restrictions sont imposées à l'exercice du pouvoir délégué, le cas échéant. Établir un cloisonnement prudent des responsabilités fonctionnelles afin de réduire le risque de manipulation ou d'erreur voulue ou accidentelle : a) Séparer les fonctions opérationnelles (personnes qui enregistrent, exécutent ces opérations, en rendent compte et conservent les pièces justificatives) des fonctions administratives (personnes qui autorisent, supervisent ou ordonnent des opérations) ; b) S’assurer qu’une personne ne peut contrôler suffisamment d'étapes du traitement d’une opération pour que des erreurs ou des malversations puissent se produire sans qu'il ne soit raisonnablement possible de les déceler : 23 22 [page 24] c) Concevoir l’ordre des tâches des employés de manière à ce que le travail d’un employé soit indépendant de celui des autres, et serve même à le contrôler : d) Prévoir des contrôles fréquents et systématiques par les dirigeants lorsque la taille réduite de l'institution ou le volume restreint des opérations ne justifie pas de séparer les fonctions opérationnelles des fonctions administratives. Établir un plan d’affaires prévisionnel à horizon minimum de trois ans, décliné par année et actualisé au moins une fois par an pour tenir compte en fonction de l’évolution de l’environnement. des résultats effectifs obtenus, et de la réévaluation des principales hypothèses retenues : a) Cerner les nouveaux débouchés du marché, anticiper et effectuer les changements d'orientation, prévoir ses résultats, déterminer les ressources financières et humaines nécessaires pour assurer la réalisation du plan et fixer des objectifs commerciaux et de rendement : b) Veiller à faire approuver le plan d’affaires par le conseil d'administration ; c) Communiquer, selon la participation de chacun à la réalisation du plan d’affaires, les objectifs commerciaux et de rendement aux actionnaires, administrateurs, dirigeants et employés. Les employés sont seulement mis au courant des renseignements qui les touchent directement ; d) Établir un mécanisme de suivi et de mesure de la mise en place du plan d’affaires. 2- Un personnel qualifié Adopter des politiques écrites en matière de ressources humaines : a) Adopter une stratégie permettant à l'institution d’avoir un personnel suffisamment nombreux, compétent, motivé et expérimenté pour pouvoir exercer ses activités en toute prudence (stratégie de recrutement, programme de formation et de perfectionnement. plan de relève) ; b) Élaborer et réviser périodiquement les programmes de rémunération pour veiller à ce que les politiques de l'institution n’aient pas pour effet d'accroître ses risques : c) Examiner et évaluer périodiquement le rendement du personnel. Adopter un code de déontologie formel : a) Instituer des règles satisfaisantes et prudentes à l'égard de la conduite à tenir en affaires et de l'éthique professionnelle : b) Veiller à faire sanctionner le code de déontologie par le conseil d’administration ; c) Veiller à faire réviser annuellement le code de déontologie par le conseil d'administration : d) Veiller à faire signer une déclaration par les administrateurs, dirigeants et employés attestant qu'ils ont pris connaissance du code, qu’ils le comprennent et qu'ils s’engagent à le respecter. 3- Des systèmes comptables et de gestion appropriés Établir et maintenir des contrôles comptables efficaces : a) Créer, maintenir et utiliser un système comptable permettant d'enregistrer les opérations en temps opportun et de produire une information comptable intégrale et exacte : 24 24 [page 25] b) Concevoir le système comptable et tenir les dossiers comptables de manière à assurer la présence d’une piste d'audit permettant de faciliter le contrôle des informations comptables et prudentielles. La piste d'audit doit permettre de reconstituer dans un ordre chronologique les opérations, de justifier toute information par une pièce justificative à partir de laquelle il doit être possible de remonter par un cheminement ininterrompu aux rapports ou états et réciproquement et finalement, d'expliquer l’évolution des soldes d’une date d'arrêté des comptes à l’autre par la conservation des mouvements ayant affecté les postes comptables. Établir et maintenir un système d’information de gestion efficace : a) Créer, maintenir et utiliser un système d’information de gestion complet grâce auquel l'institution financière dispose en temps opportun des renseignements pertinents à sa gestion et à son contrôle : b) Concevoir des rapports permettant de connaître, de quantifier, d'évaluer et de surveiller les activités commerciales de l'institution financière, sa position de risque, sa situation financière et son rendement, et de prendre à cet égard les décisions qui s'imposent ; c) Mettre en place un système permettant d'apprécier les opérations effectuées par un client quel que soit le nombre de comptes qu'il détient à l'institution financière : d) Concevoir des rapports d’exception permettant de relever toutes les dérogations aux contrôles internes et d'identifier rapidement toute situation problématique à l'égard des risques, de la solvabilité et du rendement de l'institution financière : e) Concevoir des rapports permettant de relever toutes les dérogations aux contrôles internes ; f) Produire les rapports aussi souvent qu’il le faut pour que les données sur les activités, les risques, la solvabilité et le rendement soient aussi récentes et pertinentes que possible : g) Réexaminer régulièrement les rapports de gestion pour vérifier si l'information présentée ou la fréquence de production demeure valable : h) Mettre en place un système de surveillance pouvant garantir la maîtrise des risques relatifs au blanchiment de capitaux et au financement du terrorisme ; i) Établir des systèmes de gestion des risques pour mesurer et évaluer la taille, la composition et la qualité de l’exposition au risque, et en rendre compte, ce à l'échelle d’un groupe le cas échéant et pour l’ensemble des types de risque, des produits et des contreparties, et une évaluation régulière desdits systèmes. 4- Une protection adéquate des biens et un plan de relève efficace des systèmes et activités Concevoir et appliquer des mesures efficaces de protection, d'évaluation et de contrôle des postes du bilan : - Mettre en place toutes les mesures nécessaires à la protection physique des actifs liquides. ainsi que des biens mobiliers et immobiliers de l'institution financière (restriction à l’accès physique, prise d'inventaire périodique, procédures d’entretien et couverture d’assurances adéquate) : - Adapter ces mesures à la valeur des éléments d’actif en question, au degré de leur transférabilité et négociabilité, à la facilité avec laquelle une perte ou un 5 [page 26] détournement pourrait être dissimulé et les répercussions d’une perte sur la situation financière, l'exploitation et la réputation de l’institution financière : -_ Elaborer des politiques et des pratiques d'évaluation pour tenir compte de la dépréciation monétaire ou de la baisse de valeur des éléments d’actif ou de la hausse de valeur des engagements de l'institution financière : -_ Surveiller, examiner et quantifier régulièrement la quantité et la valeur des éléments d’actif et de passif. inscrits au bilan et hors-bilan, en fonction des pertes qu’une institution financière a subies ou est susceptible de subir dans le cadre de ses activités : - Évaluer les éléments d’actif et de passif et comptabiliser, le cas échéant, des provisions prudentes ou d’autres redressements appropriés à l’égard de ceux-ci. conformément aux politiques comptables et aux exigences réglementaires auxquels l'institution financière est assujettie. Adopter des contrôles satisfaisants de sécurité et de relève à l'égard des systèmes informatiques et de télécommunications : a) Mettre en place des contrôles qui soient en adéquation avec les risques liés à une panne irrémédiable ou prolongée de ces systèmes pour l'institution financière : b) Tester convenablement les systèmes avant leur mise en service : c) Documenter convenablement les systèmes ainsi que tout changement pouvant y être apporté : d) Mettre en place des mesures qui visent à préserver l'intégrité du matériel, des logiciels et des données ainsi qu’à limiter l’accès physique ou électronique à ces derniers aux seules personnes autorisées ; e) Adopter des pratiques de sauvegarde et de récupération de données et des dispositions de relève et de secours permettant de faire adéquatement face à la défaillance ou à la perte, par destruction ou autrement, des systèmes de l’institution financière, de ses fichiers de données, de son matériel, de ses logiciels et de sa documentation ; f) Réviser et mettre à l’essai périodiquement ces mesures de secours. Adopter des mesures de relève des affaires de l'institution financière en cas de destruction partielle ou totale de ses locaux ou la restriction temporaire ou permanente de l’accès à ceux-ci. 5- Une documentation appropriée Établir un système de documentation et d’information efficient. Description des activités. opérations. systèmes ou fonctions "_ Consigner par écrit tous les renseignements nécessaires aux activités. opérations, systèmes ou fonctions afin de faciliter leur compréhension par le personnel ainsi que leur évaluation et leur modification dans le cas de recherche de solutions à certains problèmes de fonctionnement. 26 4 [page 27] Description des tâches = Consigner par écrit tous les renseignements nécessaires aux tâches afin de faciliter le processus de recrutement du personnel, l’évaluation du personnel et la répartition appropriée des tâches. Manuels de procédures "Établir des manuels de procédures sur la base de l'analyse des activités, opérations, systèmes, fonctions et risques de l'institution financière dans lesquels doivent être décrits de façon détaillée les contrôles internes. Documenter le système de contrôle interne conformément à la section 4 de la présente circulaire " Consigner par écrit tous les renseignements nécessaires aux contrôles internes afin de guider le personnel chargé de les élaborer, de les appliquer et de les surveiller. 6- Une surveillance appropriée Établir un système de surveillance basée sur des contrôles corrélatifs et des contrôles permanents et périodiques conformément à la section 5 de la présente circulaire. “ [page 28] ANNEXEII RAPPORT ANNUEL SUR LE CONTROLE INTERNE Les institutions financières sont tenues de soumettre un rapport annuel sur le contrôle interne. + _Le rapport doit être établi selon le plan défini ci-après. + _Le plan doit être adapté le cas échéant pour tenir compte d'éventuelles particularités liées aux activités exercées ou aux structures et à l’organisation de l'institution. + Le rapport doit être rédigé de façon synthétique, en mettant en exergue les changements significatifs intervenus au cours de l'exercice, en privilégiant lorsque cela est possible les descriptions sous forme de schémas et tableaux et en évitant de faire état d'informations d'intérêt purement interne. + Il appartient à chaque institution de compléter les éléments mentionnés par toute autre information de nature à permettre une appréciation du fonctionnement de son système de contrôle interne et une évaluation des risques auxquels elle est exposée. + Les rubriques que l'institution considère ne pas lui être applicable doivent être indiquées comme étant « sans objet ». + Les institutions relevant d’une supervision sur base consolidée doivent rendre compte dans les rubriques appropriées des conditions dans lesquelles le contrôle interne est assuré au niveau de l’ensemble du groupe et des principaux risques auxquels celui-ci est globalement exposé. Le rapport complète et met en perspective les réponses au questionnaire sur le contrôle interne et la gestion des risques à transmettre également par les institutions financières. en les étayant par des informations précises permettant d'apprécier la conformité effective aux prescriptions réglementaires définies par la BRH, et, par-delà, d'évaluer l'importance du risque global encouru par chaque institution et auquel elle peut exposer le système financier. SOMMAIRE 1. Cadre opératoire de l'institution Indiquer, le cas échéant. les changements significatifs intervenus dans l’organisation et les conditions de fonctionnement de l'institution au cours de l'exercice sous revue. 1.1... Organisation et effectifs 1.1.1. Changements importants apportés à l’organisation de l'institution 1.1.2. Remplacement de membres du comité de direction et responsables des fonctions de contrôle interne et conformité 1.1.3. Évolution des effectifs de l'institution A présenter selon le modèle suivant 28 24 [page 29] Nombre, en 30/09/n-2 | 30/09/n-1 | 30/09/n équivalent temps plein [Cadres supérieurs | | | | Cadres moyens 7] 1 1 | [Employés ll | Contractuels RS RS mes | Personnel de service | | | | TOTAL PS RS RE 1.2. Activités exercées 1.2.1. Exercice de nouvelles activités 1.2.2. Changements apportés aux conditions d'exercice des activités antérieures 1.2.3. Modes opératoires (infrastructures logistiques, canaux de distribution de produits et services, canaux de communication, systèmes informatiques, processus opératoires, etc.) 1.2.4. Révision des modes opératoires en exploitation 1.2.5. Mise en œuvre de nouveaux modes opératoires 1.2.6. Projets significatifs en cours de réalisation 1.3. Politique de rémunération 1.3.1. Changements apportés à la politique de rémunération 1.3.2. Modification des critères utilisés pour mesurer la performance et ajuster la rémunération au risque 1.4... Gouvernance des risques et du système de contrôle interne Présentation /e cas échéant des changements apportés au cadre de gouvernance des risques et du système de contrôle interne : 1.4.1. Au niveau du conseil d'administration : > Définition et surveillance de la politique d’appétence pour le risque > Pilotage et supervision des risques et du système de contrôle interne de l'institution et le cas échéant du groupe 1.4.2. Au niveau de la direction générale et du comité de direction > Modalités de suivi et de gestion des risques par la direction générale > Modalités d’information des dirigeants sur les incidents et anomalies significatifs relevés par les responsables des différentes fonctions de contrôle interne. 1.43. Comités spécialisés de contrôle 5 Membres 5 à ; Présidence Nombre de : Nombre de Désignation Externes à 2 (nom et statut) membres ne réunions l'institution Comité d'audit ou comité unique | ll | | » JL [page 30] Comité de gestion des risques |" "1 TL | Comité des nominations A VE EE Comité des rémunérations 1?! 1.5. Cartographie des risques 1.5.1. Révision ou mise à jour de la cartographie des risques au cours de l'exercice 1.5.2. Tableau de synthèse des résultats de la cartographie des risques A présenter sur le modèle suivant (en nombre de processus recensés dans la cartographie) : Nombre de Niveau de risque résiduel Domaine processus Faible Modéré |Elevé | Faible | Modéré Elevé cartographiés EE EE EE EE | EE EE RS RS nn RE D nn EE 2. Organisation, moyens et évolution du système de contrôle interne 2.1. Organisation du système de contrôle interne, missions et périmètre d'intervention des différentes unités dédiées 2.1.1. Présentation / rappel de l’organisation générale du système de contrôle interne 2.1.2. Organigramme des unités en charge des différentes fonctions de contrôle interne 2.2. Identité et coordonnées des responsables À présenter selon le modèle suivant : Coor 2 . Fonction Responsable Rattachement Le donné à e-mail téléphoniques | Gestion des risques | | | Conformité | Audit interne RE 2:3, Effectifs dédiés aux différentes fonctions (évolution et situation) : A présenter selon le modèle suivant Nombre, en équivalent 20/09/42 30/09/n-1 temps plein | Gestion des risques [1 | | | Conformité 1 | [Audit interne [0 | TOTAL | | 2.4. Changements apportés au dispositif de contrôle interne au cours de l’exercice 2.4.1. Changements apportés à la fonction gestion des risques 2.4.2. Changements apportés à la fonction conformité 4 [page 31] 2.4.3. Changements apportés au dispositif de contrôle périodique 2.5. Dispositif de contrôle interne au sein du groupe d'appartenance de l'institution (le cas échéant) 2.5.1. Description schématique du dispositif de contrôle par l'institution des fonctions de gestion des risques et de conformité de ses filiales 2.5.2. Dates, durée et objets des missions réalisées par l’audit interne > de l'institution sur ses filiales : > de la maison-mère de l'institution sur celle-ci. 3. Présentation synthétique de l’activité et des résultats des fonctions de contrôle interne 3.1. Compte-rendu d'activité de la fonction gestion des risques Contrôles réalisés, principaux constats, dysfonctionnements significatifs relevés 3.2. Compte-rendu d'activité de la fonction conformité et LBC/FT 3.3. Compte-rendu d'activité de l'audit interne 3.3.1. Bilan de réalisation du plan annuel d'audit > Taux de réalisation du plan > Explication du taux de réalisation 3.3.2. Liste des missions réalisées A présenter selon le modèle suivant concernées réalisation rapport ——— —————— 3.3.3. Suivi des recommandations de l’audit interne et des audits externes A présenter selon le modèle suivant (en nombre) Etat de mise en œuvre des recommandations d'audit Recommandations Nouvelles Recommandations Recommandations en cours au recommandations de soldées au cours de | en cours au 30/09/n 30/09/n-1 l'exercice l'exercice A Dont à risque élevé 4. Risque de crédit 4.1. Changements apportés à la gestion du risque de crédit au cours de l'exercice 4.2. Dispositif d'octroi des crédits 4.2.1. Tableau des délégations de pouvoirs en matière de crédit 31 [page 32] Limites d'engagement en fonction du montant, de 1 ‘objet, des caractéristiques du crédit, des garanties, de l'identité du demandeur. etc. 4.2.2. Respect effectif des procédures de contrôle des règles de prise de décision Indiquer si des incidents ou manquements significatifs aux règles d'instruction et de décision en matière de crédits ont été enregistrés au cours de l'exercice 4.3. Gestion du portefeuille de crédits 43.1. Appréciation des conditions de gestion du portefeuille 4.3.2. Existence et respect des règles d'évaluation et de réévaluation périodique des garanties et collatéraux 4.4. Processus de traitement des incidents de crédit 44.1. Dépassement des limites autorisées Indiquer si des dépassements de limites autorisées ont été constatés, et, dans l'affirmative, présenter les principaux dépassements enregistrés dans un tableau selon le modèle suivant : 2 Montant des Pate:de Contrepartie Apparenté engagements à Montentidu Causes du dépassement : n ue survenance ou non date dépassement régularisation 4.4.2. Restructurations de crédits Décrire schématiquement le processus de décision 4.4.3. Déclassement et provisionnement des créances en défaut Décrire schématiquement le processus de décision 4.5. Audits réalisés sur les activités de crédit 4.5.1. Auteur, objet et dates de réalisation des audits réalisés au cours de l'exercice concernant le risque de crédit 4.5.2. Principales insuffisances relevées 5. Risque de concentration 5.1. Concentration des risques par contrepartie 5.1.1. Changements apportés aux processus et outils de détermination et de suivi de la concentration des risques de contrepartie 5.1.2. Limites internes de concentration des risques > Non apparentés > Apparentés [page 33] 5.1.3. Respect des limites de concentration Indiquer si des dépassements des limites de concentration ont été constatés. et, dans l'affirmative, présenter les principaux dépassements enregistrés dans un tableau selon le modèle suivant : Montant des Daterde Contrepartie Apparenté engagements à Montant du Causes du dépassement : Pa _ survenance ou non date dépassement régularisation 5.2. Concentration sectorielle des risques 5.2.1. Changements apportés aux processus et outils de détermination et de suivi de la concentration des risques par secteur d’activité 5.2.2. Limites internes de concentration sectorielle des risques 5.2.3. Respect des limites de concentration sectorielle des risques Indiquer si des dépassements des limites de concentration sectorielle ont été constatés, et, dans l'affirmative, présenter les principaux dépassements enregistrés dans un tableau selon le modèle suivant : Date Secteur d'activité Mons Le Montant du Causes du dépassement à ae de survenance engagements à date dépassement régularisation 6. Risque de taux d’intérêt 6.1. Cadre général de gestion du risque de taux Présentation de la stratégie de gestion du risque de taux d'intérêt et des instances en charge de sa définition et du suivi de son exécution (composition, fréquence d'examen) 6.2. Changements apportés à la gestion du risque de taux au cours de l'exercice 6.3. Dispositif de mesure et de suivi du risque global de taux d'intérêt Description des outils et méthodologies de mesure et de contrôle du risque de taux d'intérêt global Présentation du contenu des reportings sur le risque de taux d'intérêt aux organes de gouvernance et au comité en charge de la gestion des risques 6.4. Dispositif de contrôle permanent de la gestion du risque global de taux d'intérêt Indiquer l'unité en charge de la surveillance du risque global de taux d'intérêt, et lister les contrôles réalisés sur ce point par cette unité. 6.5. Risque de taux d'intérêt au 30/09/n 5 [page 34] Présenter dans un tableau de synthèse 1 ‘exposition au risque de taux de l'institution à la date de fin d'exercice 7. Risque de liquidité 7.1. Cadre général de gestion du risque de liquidité Présentation de la stratégie de gestion du risque de liquidité et des instances en charge de sa définition et du suivi de son exécution (composition, fréquence d'examen) 7.2... Changements apportés à la gestion du risque de liquidité au cours de l'exercice 7.3. Dispositif de mesure et de suivi du risque de liquidité Description des outils et méthodologies de mesure et de contrôle du risque de liquidité Présentation du contenu des reportings sur le risque de liquidité aux organes de gouvernance et au comité en charge de la gestion des risques 7.4. Dispositif de contrôle permanent de la gestion du risque de liquidité Indiquer l'unité en charge de la surveillance du risque de liquidité, et lister les contrôles réalisés sur ce point par cette unité. 7.5. Risque de liquidité au 30/09/n Présenter dans un tableau de synthèse l'exposition au risque de liquidité de l'institution à la date de fin d'exercice 8. Risque de change et autres risques de marché 8.1. Cadre général de gestion du risque de change et des autres risques de marchés Présentation + des risques de marché autres que le risque de change auxquels est exposée l'institution ;: + des stratégies en matière de risque de change et des autres risques de marché ; + des instances en charge de leur définition et du suivi de leur exécution (composition, fréquence d'examen). 8.2. Changements apportés à la gestion du risque de change et des autres risques de marché au cours de l'exercice 8.3. Dispositif de mesure et de suivi du risque de change et des autres risques de marchés Description des outils et méthodologies de mesure et de contrôle du risque de change et des autres risques de marchés Présentation du contenu des « reportings » sur le risque de change et les autres risques de marchés aux organes de gouvernance et au comité en charge de la gestion des risques 34 2? [page 35] 8.4. Dispositif de contrôle permanent de la gestion du risque du risque de change et des autres risques de marchés Indiquer les unités en charge de la surveillance du risque de change et des autres risques de marchés, et lister les contrôles réalisés sur ce Point par ces unités 8.5. Respect des limites de position de change Indiquer si des dépassements des limites de position de change ont été constatés, et, dans l'affirmative, présenter les Principaux dépassements enregistrés dans un tableau selon le modèle suivant : 0, Daeide Position de change PAUES Fons Causes du dépassement à Das Æ survenance Propres régularisation 9. Risque de règlement-livraison 9.1. Condition de gestion du risque de règlement-livraison Description synthétique des dispositions prises pour évaluer et limiter le risque de règlement-livraison encouru par l'institution, le cas échéant, et de ses conditions de gestion et de contrôle surveillance. 9.2. Changements apportés à la gestion du risque de règlement-livraison au cours de l'exercice 9.3. Surveillance des règlements interbancaires Indiquer l’unité en charge du contrôle des états de rapprochement des comptes interbancaires. et la fréquence de ces rapprochements et des contrôles. Lister les suspens interbancaires supérieurs à 10 millions de gourdes à la date de fin d'exercice, selon le modèle suivant : . Date de ——— one Nature du suspens Montant régularisation (le MSP anne cas échéant) 10. Risque de blanchiment de capitaux et de financement du terrorisme 10.1. Cadre de gouvernance du risque LBC/FT Identité et rôle des instances en charge de la gouvernance et du suivi du risque LBC/FT Réunions du conseil d'administration, et le cas échéant d’un comité spécialisé, sur le pilotage et la supervision du risque LBC/FT A présenter selon le modèle suivant [page 36] 10.2. Responsable opérationnel LBC/FT Indiquer si l'officier de conformité est le responsable opérationnel du dispositif LBC/FT. Dans la négative, indiquer les nom, attributions, rattachement et coordonnées du responsable du dispositif LBC/FT 10.3. Changements apportés à la gestion du risque LBC/FT au cours de l'exercice 10.4. Procédures en matière de blanchiment de capitaux et de financement du terrorisme (LBC/FT) : Description synthétique et date(s) de mise à jour des procédures sur lesquelles s’appuie le dispositif de LBC/FT en faisant ressortir les modifications significatives intervenues au cours de l'exercice notamment sur les procédures relatives : > à l'identification des nouveaux clients et des bénéficiaires effectifs, > à l'identification des clients occasionnels. > à la connaissance des clients, > aux modalités de mise en conformité des dossiers clients existants avec les obligations de vigilance constante, > à la définition des critères et seuils d’alerte et à la gestion des alertes LBC/FT. Présentation schématique des modalités de mise en œuvre des obligations de vigilance Description des modalités de mise en œuvre des obligations en matière de virements de fonds Le cas échéant, description des procédures de communication et d’échanges d'informations au sein du groupe en matière d'organisation et de mise en œuvre de la LBC/FT. 10.5. Formation du personnel Liste des actions de formation du personnel sur le risque LBC/FT réalisées au cours de l'exercice, à présenter selon le modèle suivant : Personnel ciblé [Forme 7] Dates | Durée | 1 RS PRE RS SE Sn ee © a | 10.6. Audit du dispositif LBC/FT Auteur, objet et dates de réalisation des audits réalisés au cours de l’exercice en matière de risque LBC/FT Principales insuffisances relevées “ [page 37] 11. Risque de non-conformité (hors LBC/FT) 11.1. Changements apportés à la gestion du risque de non-conformité hors LBC/FT au cours de l'exercice 11.2. Formation du personnel Liste des actions de formation du personnel sur le risque de non-conformité (hors LBC/FT) réalisées au cours de l’exercice, à présenter selon le modèle suivant : [Sujet 77] Personnelciblé | Forme | Das | Duæ mec. | a À | 11.3. Incidents enregistrés au cours de l'exercice Indiquer si des incidents résultant du risque de non-conformité ont été enregistrés au cours de l’exercice Dans l’affirmative, les présenter dans un tableau selon le modèle suivant : Date de Description de NES Impact Mesures correctrices mise en FD Causes de l’incident i l'incident l'incident financier œuvre RS ER RE 5 RS RUES SR RS RES Sens 12. Risque opérationnel 12.1. Gouvernance du risque opérationnel Identité et rôle des instances en charge de la gouvernance et du suivi du risque opérationnel Réunions du conseil d'administration, et le cas échéant d’un comité spécialisé, sur le pilotage et la supervision du risque opérationnel A présenter selon le modèle suivant [Instance 777 | Date deréunion | Objt | Décisions DE A RS PE 12.2. Changements apportés à la gestion du risque opérationnel au cours de l'exercice 12.3. Formation du personnel Liste des actions de formation du personnel sur le risque opérationnel réalisées au cours de l’exercice, à présenter selon le modèle suivant : Personnel ciblé [Forme [7 Dates | Durée | ne —— | 4 [page 38] 12.4. Incidents opérationnels enregistrés au cours de l'exercice Synthèse des incidents par type, à présenter selon le modèle suivant : C Fraude interne | [Fraude externe | | Pratiques en matière d'emploi et sécurité sur le lieu de travail | | Clients, produits et pratiques commerciales a | | Dommages aux actifs corporels | Dysfonctionnement de l'activité et des systèmes is Exécution, livraison et gestion des processus a | ® Suivant la typologie définie à l'annexe 9 de l'accord Bâle II 12.5. Audits réalisés en matière de risque opérationnel Auteur, objet et dates de réalisation des audits réalisés au cours de l’exercice en matière de risque opérationnel Principales insuffisances relevées 13. Plan d’urgence et de poursuite des activités 13.1. Changements apportés à la gestion des plans d ’urgence et de poursuite des activités au cours de l’exercice 13.2. Tests du plan d'urgence et de poursuite des activités réalisés au cours de l'exercice | Dates 777 T° Périmètre concemé | 7 Scenariodutet TE LE ——" — | 13.3. Audit du plan d'urgence et de poursuite des activités Auteur et date de réalisation du dernier audit en date sur le plan d'urgence et de poursuite des activités 14. Sécurité des systèmes d’information : 14.1. Responsable de la sécurité informatique Nom, attributions, rattachement et coordonnées du responsable 14.2. Changements apportés à la gestion de la sécurité des systèmes d’information au cours de l'exercice 14.3. Audits de la sécurité des systèmes d’information Auteur, objet et dates de réalisation des audits réalisés au cours de l’exercice en matière de sécurité des systèmes d’information 15. Risques liés aux activités externalisées 15.1. Liste des activités externalisées Æ 38 [page 39] Liste des activités, prestations de services et tâches opérationnelles à risque significatif, à présenter selon le modèle suivant. Activités externalisées Prestataire d’externalisation A | a — 2 — | A 15.2. Changements apportés à la gestion des activités externalisées au cours de l'exercice 15.3. Audits concernant les activités externalisées Auteur, objet et dates de réalisation des audits réalisés au cours de l’exercice concernant des activités externalisées Principales insuffisances relevées 16. CONCLUSION GENERALE Appréciation d'ensemble du système de contrôle interne et des dispositifs de mesure et de surveillance des risques (conformité à la circulaire 89-2, difficultés éventuelles d’application), projets et perspectives d’évolution. 39 LL