FRANCE: Arrêté du 25 février 2021 modifiant l'arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque soumises au contrôle de l'ACPR

Le modèle de contrôle interne

L’arrêté rappelle que le modèle de contrôle interne applicable est basé sur les niveaux et non sur les lignes de défense qui est d’inspiration anglo-saxonne et poussé par les Big 4 et certaines associations.

« Art. 12. – Les entreprises assujetties disposent, selon des modalités adaptées à leur taille, à la nature et à la complexité de leurs activités, de trois niveaux de contrôle distincts:

• • «a) Le premier niveau de contrôle est assuré par des agents exerçant des activités opérationnelles. Ces agents identifient les risques induits par leur activité et respectent les procédures et les limites fixées.
  • «b) Le deuxième niveau de contrôle est assuré par des agents au niveau des services centraux et locaux, exclusivement dédiés à la gestion des risques y compris le risque de non-conformité. Dans le cadre de cette mission, ces agents vérifient notamment que les risques ont été identifiés et gérés par le premier niveau de contrôle selon les règles et procédures prévues. Ce deuxième niveau de contrôle est assuré par la fonction de vérification de la conformité et la fonction de gestion des risques mentionnés respectivement au chapitre II et IV du présent titre ou par une ou plusieurs unités indépendantes dédiées au deuxième niveau de contrôle.
  • «c) Le troisième niveau de contrôle est assuré par la fonction d’audit interne composée d’agents au niveau central et, le cas échéant, local distincts de ceux réalisant les contrôles de premier et deuxième niveau.

«Les deux premiers niveaux de contrôle assurent le contrôle permanent de la conformité, de la sécurité et de la validation des opérations réalisées et du respect des autres diligences liées aux missions de la fonction de gestion des risques.
«Le troisième niveau de contrôle assure, au moyen d’enquêtes, le contrôle périodique de la conformité des opérations, du niveau de risque effectivement encouru, du respect des procédures, de l’efficacité et du caractère approprié des dispositifs mentionnés au a et b.»;

La terminologie est aussi actualisée pour rendre le modèle actuel:

«système de contrôle des opérations et des procédures internes» sont remplacés par les mots: «contrôle interne»

Sécurité informatique et Cybersécurité

Un focus particulier est mis sur la sécurité informatique et cyber-malveillance / cybercriminalité.