Audit et contrôle périodique externalisés

Le contrôle périodique, ou contrôle de troisième niveau, vérifie de façon indépendante que le dispositif de conformité et de contrôle interne fonctionne : il évalue les contrôles, formule des recommandations et s’assure qu’elles sont appliquées. Pour une société de gestion qui n’appartient pas à un groupe, l’AMF recommande de le confier à un prestataire externe ; elle l’impose lorsque le RCCI est aussi en charge de la gestion des risques (DOC-2014-06, § 3.5). CiD Consulting, cabinet de conformité et de contrôle interne installé à Paris depuis 2006, audite les activités des établissements financiers et est leur interlocuteur auprès des autorités lors de leurs missions de contrôle.

En bref : les règles

Sociétés de gestion de portefeuille (AMF, DOC-2014-06, § 3.5, p. 24-26)

La SGP met en place une fonction de contrôle périodique distincte et indépendante de ses autres fonctions, sauf si c’est disproportionné au regard de sa taille et de ses activités ; elle doit alors pouvoir le démontrer à l’AMF.
Sans fonction indépendante, c’est le RCCI qui est en charge du contrôle périodique.
SGP hors groupe : l’AMF recommande de confier le contrôle périodique à un prestataire externe. RCCI également en charge de la gestion des risques : le recours à un prestataire externe est obligatoire.
Fréquence : contrôles annuels ou pluriannuels ; un plan pluriannuel couvre l’ensemble des activités sur un nombre d’exercices aussi limité que possible, et en trois ans au plus. Une SGP qui externalise son contrôle périodique peut faire réaliser les contrôles tous les deux ou trois ans.
L’instance de surveillance reçoit au moins une fois par an des rapports écrits sur le contrôle périodique.

Entreprises d’investissement (MIF 2 et arrêté du 3 novembre 2014)

Lorsque c’est approprié et proportionné, l’entreprise maintient une fonction d’audit interne distincte et indépendante, qui établit un programme d’audit, formule des recommandations et vérifie leur respect (règlement délégué (UE) 2017/565, article 24).
Le troisième niveau de contrôle assure, au moyen d’enquêtes, le contrôle périodique de la conformité des opérations, du niveau de risque effectivement encouru, du respect des procédures et de l’efficacité des deux premiers niveaux (arrêté du 3 novembre 2014, article 12).
L’entreprise désigne un responsable de l’audit interne et un dirigeant effectif en charge du contrôle périodique (article 17). Si sa taille ne justifie pas des personnes différentes, contrôle permanent et contrôle périodique peuvent être confiés à une seule personne ou aux dirigeants effectifs, sauf pour les entreprises d’investissement de classe 1 bis (article 18).
Dans ce cas, ou lorsque des circonstances particulières le justifient, l’entreprise peut confier des tâches d’exécution des contrôles à des prestataires extérieurs, sous la responsabilité des responsables du contrôle permanent et dans les conditions des articles 237 à 240 (article 21).
Les entreprises d’investissement de classe 3 (les plus petites) ne sont pas soumises à ces articles de l’arrêté (article 2 bis) ; l’article 24 du règlement délégué (UE) 2017/565 reste applicable.

Le rôle du contrôle périodique

Selon l’AMF (DOC-2014-06, p. 25), le contrôle périodique sert à :

évaluer l’adéquation et l’efficacité des systèmes, des mécanismes de contrôle interne et des dispositifs de la société ;
formuler des recommandations lorsque des anomalies sont détectées ;
s’assurer que ces recommandations sont prises en compte ;
informer les dirigeants des travaux menés et des mesures prises.

Ce que CiD Consulting prend en charge

L’audit de vos activités et l’identification de vos obligations réglementaires.
Le rôle d’interlocuteur des autorités lors de leurs missions de contrôle.
La conception de solutions juridiques et réglementaires pour sécuriser vos projets.

Comment se déroule une mission d’audit CiD Consulting

Chaque mission suit la charte d’audit de CiD Consulting, remise à l’établissement audité dès le lancement.

Cadrage. L’auditeur convient avec vous du thème de la mission et du calendrier. Un e-mail de lancement fixe le point de départ : identité de l’auditeur, objet de la mission, dates clés (début, remise des documents, projet de rapport, restitution) et liste des documents à fournir. Une réunion de lancement délimite le périmètre ; elle donne lieu à un compte rendu.
Investigations. Analyse des documents, entretiens sur place ou à distance. Les documents sont échangés par la messagerie de CiD Consulting et un dossier partagé, pour garantir leur confidentialité. L’auditeur vous tient informé de l’avancement.
Projet de rapport. Les constats sont formulés de façon factuelle. Le projet est adressé à vos représentants et à votre organe de direction, qui disposent de 10 jours ouvrés pour formuler leurs observations.
Restitution. Une réunion réunit les auditeurs, vos représentants et la présidente de CiD Consulting pour valider le rapport amendé. Le rapport final, signé, est accompagné de ses annexes et d’un tableau des recommandations, chacune assortie du livrable attendu pour la clore.
Suivi. Vous mettez en œuvre les recommandations et transmettez les livrables au fil de l’eau ; CiD Consulting prononce la clôture de chaque recommandation.

CiD Consulting vise une durée moyenne de 2 mois au plus entre l’e-mail de lancement et l’envoi du rapport final.

Nos engagements : absence de conflit d’intérêts vérifiée avant toute nomination d’un auditeur, secret professionnel sur toutes les informations recueillies, principes de loyauté (le rapport intègre aussi les éléments qui réduisent la portée d’un constat) et de proportionnalité (limiter l’impact de la mission sur votre activité).

Contrôle périodique externalisé : les points d’attention

L’indépendance. Le contrôle périodique est chargé de contrôler les fonctions de conformité et de contrôle interne : l’AMF demande d’éviter de les regrouper (p. 25).
Le même prestataire que pour le contrôle permanent ? C’est possible, pour une société de gestion comme pour une entreprise d’investissement, à condition que les deux missions soient menées par des consultants distincts. Pour une SGP qui n’a pas de fonction de contrôle périodique indépendante, dont le RCCI est un dirigeant et dont le contrôle permanent est externalisé, l’AMF le demande expressément. Pour les SGP qui relèvent de la grille de l’AMF (de 200 à 500 millions d’euros d’encours si la clientèle comprend des clients de détail, de 200 millions à 1 milliard si elle est exclusivement professionnelle ou assimilée), l’AMF recommande un autre prestataire (p. 25).
Les conflits d’intérêts. Si le prestataire de contrôle effectue aussi d’autres missions (rédaction de procédures, organisation…), elles doivent être peu significatives en termes de budget par rapport aux contrôles, ou être confiées à des équipes distinctes (§ 3.6.2, p. 27).
La rotation. L’AMF recommande de changer au plus tous les 10 ans les responsables de la mission chez le prestataire, ou mieux le prestataire lui-même (p. 28).

Pourquoi CiD Consulting ?

Depuis 2006, CiD Consulting accompagne plus de 200 établissements financiers dans leurs questions de conformité et de contrôle interne.
Une fondatrice issue du contrôle interne : Cindy Elalouf a exercé 10 ans comme responsable du contrôle interne au sein des groupes Crédit Lyonnais puis Natixis, et a été titulaire de la carte professionnelle de RCSI dès sa création en 1997.
Des consultants experts en réglementation, qui ont exercé des responsabilités opérationnelles auprès des autorités de régulation et de contrôle, de prestataires de services d’investissement ou de sociétés de gestion.
Une connaissance des contrôles de l’AMF, suivie dans nos Flash Info, notre lettre d’actualité hebdomadaire : synthèses des contrôles SPOT, décisions de la Commission des sanctions.

Questions fréquentes

Qu’est-ce que le contrôle périodique ?

C’est le troisième niveau de contrôle. Il assure, au moyen d’enquêtes, le contrôle périodique de la conformité des opérations, du respect des procédures et de l’efficacité des contrôles de premier et de deuxième niveau (arrêté du 3 novembre 2014, article 12). Pour les sociétés de gestion, l’AMF en décrit le rôle au § 3.5 de la DOC-2014-06.

Une petite société de gestion doit-elle avoir un contrôle périodique ?

Oui, le contrôle périodique doit être assuré. Mais une SGP peut ne pas créer de fonction indépendante si c’est disproportionné pour sa taille et ses activités : le RCCI en est alors chargé, et la SGP doit pouvoir justifier ce choix auprès de l’AMF (p. 24-25).

Quand le recours à un prestataire externe est-il obligatoire ?

Pour une SGP dont le RCCI est aussi en charge de la gestion des risques : l’AMF impose alors de confier le contrôle périodique à un prestataire externe (DOC-2014-06, p. 25). Hors de ce cas, c’est une recommandation pour les SGP qui n’appartiennent pas à un groupe.

À quelle fréquence faire les contrôles ?

Chaque année, ou selon un plan pluriannuel qui couvre l’ensemble des activités sur un nombre d’exercices aussi limité que possible, et en trois ans au plus. Une SGP qui externalise son contrôle périodique peut faire réaliser les contrôles tous les deux ou trois ans (DOC-2014-06, p. 25-26).

Qui reçoit les conclusions ?

Pour une SGP, l’instance de surveillance reçoit au moins une fois par an des rapports écrits sur le contrôle périodique (p. 25). Pour une entreprise d’investissement, les instances dirigeantes reçoivent, de manière fréquente et au moins une fois par an, des rapports sur l’audit interne (règlement délégué (UE) 2017/565, article 25, paragraphe 2).

Combien de temps dure une mission d’audit ?

La durée de la mission est fixée au contrat et rappelée au lancement. CiD Consulting vise une durée moyenne de 2 mois au plus entre l’e-mail de lancement et l’envoi du rapport final, sous réserve que les documents soient remis dans les délais convenus.

Que contient le rapport d’audit ?

Les constats, formulés de façon factuelle, les annexes et un tableau des recommandations. Chaque recommandation précise le livrable attendu pour être close. Vos représentants disposent de 10 jours ouvrés pour formuler leurs observations sur le projet de rapport.

Le contrôle périodique est-il la même chose que le contrôle de l’AMF ?

Non. Le contrôle périodique est un contrôle interne à l’entreprise, même lorsqu’il est confié à un prestataire. Les contrôles de l’AMF ou de l’ACPR sont menés par les autorités elles-mêmes. CiD Consulting intervient dans les deux cas : audit de vos activités, et rôle d’interlocuteur des autorités lors de leurs missions de contrôle.

Parlons de votre dispositif

Vous cherchez un prestataire pour votre contrôle périodique, ou vous préparez un contrôle de l’AMF ou de l’ACPR ? Contactez CiD Consulting : 06 03 20 15 87, contact@cidconsulting.net, du lundi au vendredi de 8 h 30 à 18 h 30.

Nous contacter

Sources : AMF, DOC-2014-06 · règlement délégué (UE) 2017/565, articles 24 et 25 · arrêté du 3 novembre 2014 relatif au contrôle interne.

Audit et contrôle périodique externalisés pour les sociétés de gestion et les entreprises d’investissement