Système de contrôle interne (SCI) pour gestionnaires de fortune

De quoi s'agit-il

Le système de contrôle interne (SCI) est l'outil qui permet à un gestionnaire de fortune de démontrer que ses directives sont appliquées. Il est une condition d'autorisation et une obligation permanente : la FINMA, l'organisme de surveillance et la société d'audit s'y réfèrent lors de chaque examen. Un SCI bien construit apporte aussi une vue claire à la direction et au conseil d'administration.

Cet article présente les bases légales, les éléments d'un SCI et une méthode de mise en place adaptée aux gestionnaires de fortune de Suisse romande et de toute la Suisse. Le cadre de surveillance figure dans le dossier LEFin et surveillance.

Ce qui s'applique

• Art. 9 LEFin : l'établissement identifie, mesure, gère et surveille ses risques, y compris les risques juridiques et de réputation, et met en place des contrôles internes efficaces.
• Art. 21 LEFin : les gestionnaires de fortune disposent d'une gestion des risques adéquate et d'un contrôle interne efficace qui garantit notamment le respect des prescriptions légales et internes (compliance). Les personnes qui exercent ces tâches ne prennent pas part aux activités qu'elles surveillent.
• Art. 12, al. 4, OEFin : la gestion des risques couvre l'ensemble des activités et permet de détecter, évaluer, gérer et surveiller les risques principaux.
• Art. 26 OEFin : principes de gestion des risques et tolérance au risque ; allègement pour les petits établissements sans risques élevés.
• Art. 41 OEFin : pour les gestionnaires de fortune collective, séparation fonctionnelle et hiérarchique entre gestion des risques et compliance d'une part, gestion de portefeuille d'autre part ; responsabilité du SCI auprès de l'organe de haute direction.
• Art. 728a CO : pour les sociétés soumises au contrôle ordinaire, l'organe de révision vérifie l'existence d'un SCI.

Les exigences d'organisation plus larges – direction, capital, délégation – sont détaillées dans l'article LEFin : exigences d'organisation.

Les éléments d'un SCI efficace

Trois lignes de défense

Les activités opérationnelles forment la première ligne, la gestion des risques et la compliance la deuxième, l'audit indépendant la troisième. Le SCI décrit qui contrôle quoi sur chaque ligne.

Inventaire des risques et tolérance

Risques juridiques, opérationnels, de blanchiment d'argent, informatiques et liés aux externalisations sont recensés avec probabilité, impact et tolérance au risque. La tolérance est fixée par la direction et revue chaque année.

Matrice des risques et des contrôles

Chaque risque clé est relié à un ou plusieurs contrôles avec objectif, fréquence, responsable et justificatif attendu. Exemples typiques pour un gestionnaire de fortune :

• vérification par sondage des dossiers d'entrée en relation (identification, ayant droit économique, profil de risque) ;
• cohérence entre profil de risque, stratégie et portefeuille selon la LSFin ;
• contrôle mensuel de la comparaison des clients avec les nouvelles listes de sanctions ;
• revue des transactions inhabituelles et des clarifications LBA ;
• suivi des échéances : formations, renouvellements, annonces à l'organisme de surveillance.

Les contrôles relatifs aux règles de conduite sont décrits dans l'article LSFin : règles de conduite, ceux relatifs aux sanctions dans l'article sanctions et embargos.

Justificatifs, mesures et points ouverts

Chaque contrôle est documenté avec date, résultat et pièce justificative. Les constats issus des contrôles, des audits et des incidents deviennent des mesures avec responsable et délai, suivies jusqu'à leur clôture.

Rapports

La direction et le conseil d'administration reçoivent régulièrement un rapport sur l'état des contrôles, les mesures ouvertes et la situation de risque, au moins une fois par an avec l'évaluation annuelle des risques.

Étape par étape

1. 1

   Recenser les risques

   partir du modèle d'affaires, des segments de clientèle, des produits et des prestataires externes.
2. 2

   Fixer la tolérance au risque

   décision de la direction, documentée et communiquée.
3. 3

   Construire la matrice

   relier chaque risque clé à des contrôles avec responsable, fréquence et justificatif.
4. 4

   Établir le plan de contrôle annuel

   répartir les contrôles par mois ou par trimestre.
5. 5

   Exécuter et documenter

   classer les résultats et justificatifs avec chaque contrôle.
6. ✓

   Suivre et rendre compte

   mesures jusqu'à la clôture, rapport périodique, revue annuelle du SCI.

Liste de contrôle

• Inventaire des risques à jour, y compris risques informatiques et d'externalisation
• Tolérance au risque approuvée par la direction
• Matrice des risques et des contrôles complète, chaque contrôle avec responsable
• Plan de contrôle de l'année validé
• Justificatifs classés et datés pour chaque contrôle exécuté
• Mesures et points d'audit suivis avec délai
• Rapport périodique à la direction et au conseil d'administration
• Indépendance de la deuxième ligne réglée ou allègement de l'art. 26, al. 2, OEFin documenté

Comment Peak Compliance vous accompagne

Peak Compliance met en place et exploite votre SCI dans un SCI en ligne, exécute les contrôles de deuxième ligne et prépare la documentation pour la société d'audit et l'organisme de surveillance – dans le cadre de l'externalisation de la gestion des risques. Pour un premier entretien, passez par notre page de contact.