Le contexte

L’arrêté du 29 juillet 2026, pris notamment pour transposer la directive (UE) 2024/1619 (dite « CRD 6 »), modifie l’arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque, des services de paiement et des services d’investissement soumises au contrôle de l’ACPR.

Depuis le 2 août 2026, l’article 12, consacré aux trois niveaux de contrôle, est complété afin de préciser et de renforcer les missions des fonctions de conformité, de gestion des risques et d’audit interne. Le principe des trois niveaux de contrôle existait déjà : les principales évolutions concernent les deuxième et troisième niveaux.

Le premier niveau de contrôle : inchangé

Le premier niveau reste assuré par les agents exerçant des activités opérationnelles. Ces agents :

identifient les risques induits par leur activité ;
respectent les procédures et les limites fixées.

Les deux premiers niveaux continuent d’assurer le contrôle permanent de la conformité, de la sécurité et de la validation des opérations réalisées.

Le deuxième niveau : des responsabilités renforcées

Le deuxième niveau de contrôle demeure assuré par des agents exclusivement dédiés à la gestion des risques, y compris le risque de non-conformité. Ils vérifient notamment que les risques ont été identifiés et gérés par le premier niveau conformément aux règles et procédures prévues. Ce niveau repose sur la fonction de vérification de la conformité, la fonction de gestion des risques ou une ou plusieurs unités indépendantes dédiées.

La fonction de conformité voit son rôle expressément complété. Elle doit notamment :

évaluer et atténuer le risque de non-conformité ;
veiller à ce que ce risque soit pris en compte dans la stratégie de l’entreprise en matière de risques ;
veiller à ce qu’il soit dûment pris en compte dans toutes les décisions significatives de gestion des risques.

La conformité est ainsi davantage intégrée à la stratégie globale de gestion des risques de l’entreprise.

La fonction de gestion des risques doit désormais :

participer activement à l’élaboration de la stratégie de l’établissement en matière de risques ;
participer à toutes les décisions significatives en matière de gestion des risques ;
contrôler la mise en œuvre effective de cette stratégie.

Le troisième niveau : une indépendance renforcée de l'audit interne

Le troisième niveau reste assuré par la fonction d’audit interne, composée d’agents distincts de ceux qui réalisent les contrôles de premier et de deuxième niveau. L’audit interne assure toujours le contrôle périodique, notamment de la conformité des opérations, du niveau de risque effectivement encouru, du respect des procédures et de l’efficacité des dispositifs de contrôle.

Depuis le 2 août 2026, ses missions sont complétées : les auditeurs internes procèdent également à un examen indépendant de la mise en œuvre effective de la stratégie de l’entreprise en matière de risques. Le texte précise en outre qu’ils ne sont associés à aucune autre ligne d’activité ou fonction de contrôle, ce qui renforce l’indépendance du troisième niveau.

En résumé

La réforme ne remet pas en cause l’architecture des trois niveaux de contrôle, mais renforce leur articulation avec la stratégie de gestion des risques. La conformité intervient plus explicitement dans l’évaluation et l’atténuation du risque de non-conformité, la gestion des risques voit son rôle stratégique renforcé et l’audit interne apprécie de manière indépendante la mise en œuvre effective de cette stratégie.

Vous avez besoin de notre assistance ? Contactez-nous.

Source

Légifrance, article 12 de l’arrêté du 3 novembre 2014, modifié par l’article 4 de l’arrêté du 29 juillet 2026.

Chaque semaine, CiD Consulting vous éclaire sur la règlementaire financière.
Envie de recevoir notre flash info directement dans votre boîte mail ?

Contrôle interne : renforcement des fonctions de conformité, de gestion des risques et d’audit interne