Synthèse du contrôle SPOT relative aux fonctions de conformité et de contrôle interne des sociétés de gestion de portefeuille

Objectifs de la mission : 

• Evaluer le positionnement et la représentation de la fonction de conformité et du contrôle interne dans les instances de gouvernance
• Apprécier le corpus procédural, les moyens humains et techniques,
• Apprécier le dispositif d'escalade en cas de désaccord entre le RCCI et les opérationnels,
• Vérifier les modalités de mise en œuvre des plans de conformité et de contrôle interne
• Contrôler l'articulation entre le contrôle permanent et le contrôle périodique,
• Apprécier le dispositif de suivi des recommandations (remédiation et informations des instances dirigeantes).

Le contrôle interne au sein d'une SGP est un dispositif permanent visant à sécuriser les opérations, maîtriser les risques et vérifier l'efficacité des processus, afin de protéger les intérêts des clients et de l'entreprise. Il se compose du contrôle permanent et du contrôle périodique.

La fonction de conformité exerce deux missions essentielles : l‘assistance et le conseil des unités opérationnelles et des instances dirigeantes et le contrôle du dispositif de conformité.

Le contrôle périodique (ou de troisième niveau) correspond à l'audit interne dans une SGP, car il consiste en une évaluation indépendante et ponctuelle des dispositifs de contrôle interne et de conformité, afin de vérifier leur adéquation et leur efficacité.

Le contrôle permanent (ou de deuxième niveau) est un dispositif continu et indépendant qui vérifie la bonne exécution des contrôles de premier niveau (réalisés par les opérationnels) et s'assure du respect des procédures, de la conformité réglementaire et de la maîtrise des risques au sein d'une SGP.

Bonnes et mauvaises pratiques identifiées

Sur la politique, les procédures et l'organisation du dispositif de conformité et de contrôle interne 

Bonnes pratiques : 

• Procéder, au sein d'un groupe, au rattachement fonctionnel du RCCI de la SGP à des référents métiers spécialisés de niveau groupe pour garantir la cohérence du programme de contrôle pour l'ensemble des filiales du groupe.
• Alerter les collaborateurs concernés de la mise à jour des procédures‑clés par courriel.
• S'assurer que le RCCI est membre de droit des instances décisionnaires (comités produits, ESG, risques, sécurité, contrôle interne…) et des instances de direction (conseil d'administration, conseil de direction) de la SGP.
• Solliciter chaque équipe opérationnelle pour la mise à jour de la cartographie des risques afin qu'elle soit le reflet le plus juste des zones de risques de l'entité.
• Mentionner, dans la procédure dédiée à la conformité et au contrôle interne, les modalités de détermination des échantillons de test utilisés dans le cadre des travaux de contrôle de 2ème niveau, les règles de maintenance du fichier des recommandations ou encore le mode d'évaluation de la criticité des contrôles.
• Intégrer, dans le contrôle permanent de chaque processus, la revue systématique de la procédure associée.

Mauvaises pratiques : 

• Confier la responsabilité d'une procédure interne clé à un collaborateur externe.
• Réduire la cartographie des risques à une simple liste de contrôles non pondérés en termes de niveau de risque.
• Ne pas prévoir, dans le corps procédural, les règles ni le calendrier d'intervention de l'équipe de conformité dans le cadre de la création d'un nouveau produit.

Sur le positionnement et la représentation des fonctions de conformité

Bonnes pratiques : 

• Définir ex ante, formellement et de manière chiffrée, l'appétit pour le risque opérationnel de la SGP en relation avec le niveau de pertes (et de dépenses de remédiation) qu'elle juge supportable au regard de son dispositif de contrôle des risques et de ses fonds propres.
• Mettre en place un plan de formations détaillé signalant le public concerné et les thématiques ciblées afin de faciliter le suivi de la formation des collaborateurs en matière de conformité.
• Réaliser des actions de sensibilisation des équipes opérationnelles aux risques inhérents à leur activité en leur adressant, par courriel, des notes de conformité et de veille réglementaire.
• Mettre à disposition du RCCI les contrôles permanents réalisés par le groupe et visant le personnel mis à disposition de la SGP par ce dernier.
• Maintenir à la disposition des collaborateurs, sur le réseau informatique de la SGP, les textes réglementaires applicables ainsi que les analyses (réalisées en interne ou en externe) y afférentes.
• Mentionner, dans le corps procédural, le caractère complémentaire de la faculté d'alerte qui n'a pas pour objet de se substituer au mode habituel de signalement des incidents opérationnels.
• Formaliser explicitement, dans les PCCI, les contrôles réalisés avec l'assistance d'un prestataire externe.
• Mentionner, dans le contrat d'assistance souscrit avec le prestataire de contrôle interne, que la SGP conserve la responsabilité du plan de contrôle et des contrôles pour lesquels elle est assistée par ce prestataire.
• Mentionner, dans la cartographie des risques, le risque que les contrôles externalisés ne soient pas réalisés de manière adéquate.
• Prévoir des mentions spécifiques à la rémunération de l'équipe de conformité dans le corps procédural et dans les contrats de travail.
• Mentionner, dans le contrat de délégation du contrôle périodique, le niveau d'expertise attendu des consultants en charge de la prestation (niveau d'étude post‑Bac, certification AMF, expérience professionnelle).

Sur la mise en œuvre du dispositif de conformité

Bonnes pratiques : 

• Définir, dans le plan de contrôle permanent, des niveaux de priorité pour les travaux à accomplir permettant de procéder à des arbitrages si nécessaire.
• Mentionner dans les fiches de contrôle permanent des « bonnes pratiques » constatées – dans le cadre d'échanges interprofessionnels - au sein de SGP équivalentes (en termes d'activités, d'encours ou de moyens humains) mais ne relevant pas d'une obligation règlementaire ni d'une recommandation de l'autorité de régulation (contrairement à la recommandation).
• Ne pas réduire les échanges relatifs au contrôle permanent avec les dirigeants aux réunions des comités de conformité.
• Sensibiliser les dirigeants responsables sur l'ensemble des actions menées par le RCCI en termes de contrôles exécutés, de conseils fournis et de projets menés.

Mauvaises pratiques :

• Ne pas mettre en œuvre de canal d'échanges réguliers avec le groupe s'agissant des résultats des contrôles permanents menés par ce dernier sur le périmètre de la SGP filiale (par exemple sur la rémunération des collaborateurs mis à disposition).

Sur la fonction d'audit interne

Bonnes pratiques : 

• Lorsque la fonction de contrôle périodique est déléguée à la société‑mère, encadrer l'intervention de cette dernière par un contrat de délégation.
• Lorsque le contrôle interne est délégué à un acteur externe, s'assurer de la distinction des équipes en charge du contrôle permanent par rapport à celles en charge du contrôle périodique (i) a priori dans le contrat de délégation et (ii) a posteriori lors de la réalisation des missions.
• Prévoir, dans le contrat conclu avec le prestataire de contrôle périodique, que les collaborateurs en charge de réaliser les travaux de contrôle périodique détiennent la certification AMF.
• Externaliser l'audit de la fonction de conformité.
• Veiller à la complémentarité des missions de contrôle réalisées par le contrôle permanent avec celle menées par le contrôle périodique externalisé.

Sur la mise en œuvre de l'audit interne

Bonnes pratiques : 

• Prévoir une revue de la fonction de contrôle périodique, lorsque cette dernière est attribuée au groupe ou à la SGP, par un acteur indépendant, sur une fréquence de 3 à 5 ans, en s'appuyant sur des critères précis tels que le taux de réalisation du plan d'audit, la qualité des moyens humains et techniques déployés, la pertinence des missions réalisées au regard des zones de risque et le suivi des recommandations émises.
• Pour les SGP appartenant à un groupe, formaliser dans une charte interne les modalités de revue des plans d'audit et d'évaluation des travaux du contrôle périodique.
• Prévoir la possibilité d'adapter le plan de contrôle périodique, en cours d'exercice, soit en supprimant une mission (en cas d'inactivité constatée sur le périmètre), soit en incluant des missions non programmées en cas de nouvelle règlementation, de risque émergent ou de situation dégradée.
• Pour les SGP appartenant à un groupe, lorsque la fonction de contrôle périodique est exercée à la fois par l'audit interne de la société mère et par l'inspection générale du groupe, prévoir une vérification régulière de (i) la couverture adéquate des risques par les deux équipes et de (ii) l'application adaptée du principe de subsidiarité.

Mauvaises pratiques :

• Ne pas prendre en compte, dans l'établissement d'un rapport de contrôle périodique, les résultats des audits antérieurs récents ayant porté sur le même thème.