RCSI externalisé pour les entreprises d’investissement

Le RCSI, responsable de la conformité pour les services d’investissement, dirige la fonction de vérification de la conformité d’un prestataire de services d’investissement : une entreprise d’investissement, ou une banque qui fournit des services d’investissement. Il doit être titulaire d’une carte professionnelle de RCSI (article 312-2 du règlement général de l’AMF). L’entreprise peut confier tout ou partie des tâches de cette fonction à un prestataire externe, mais elle en garde la responsabilité. CiD Consulting, cabinet de conformité et de contrôle interne installé à Paris depuis 2006, intervient en délégation RCSI ou en assistance ponctuelle.

À ne pas confondre avec le RSSI, responsable de la sécurité des systèmes d’information.

En bref : les textes qui s’appliquent

• Fonction de conformité : article 22 du règlement délégué (UE) 2017/565 (MIF 2). L’entreprise garde opérationnelle en permanence une fonction de vérification de la conformité efficace et indépendante, dirigée par un responsable désigné par l’organe de direction.
• Carte professionnelle : article 312-2 du règlement général de l’AMF.
• Contrôle interne : arrêté du 3 novembre 2014, qui s’applique aux entreprises d’investissement (article 1er) sous le contrôle de l’ACPR. Il prévoit trois niveaux de contrôle ; les deux premiers forment le contrôle permanent, le troisième le contrôle périodique (article 12).
• Entreprises d’investissement de classe 3 (les plus petites) : la plupart des règles d’organisation du contrôle interne de l’arrêté (titre II, articles 11 à 83) ne s’appliquent pas, sauf les articles 35, 36, 38 et 41. En matière d’externalisation, seuls les articles 231 et 236 à 239 s’appliquent (article 2 bis). Les exigences du règlement délégué (UE) 2017/565 restent applicables.
• Externalisation : article 16, paragraphe 5, de la directive 2014/65/UE (MIF 2) et article 31 du règlement délégué (UE) 2017/565 ; orientations de l’ESMA sur la fonction de conformité MIF 2 (ESMA35-36-1952, 2021), orientation 11 ; articles 21 et 237 à 240 de l’arrêté du 3 novembre 2014.

RCCI ou RCSI : quelle différence ?

Vous êtes une société de gestion ? Voir notre page RCCI externalisé.

Ce que fait la fonction de conformité

L’article 22 du règlement délégué (UE) 2017/565 lui confie quatre missions :

1. contrôler en permanence, et évaluer à intervalles réguliers, l’adéquation et l’efficacité des politiques et procédures de l’entreprise ;
2. conseiller et assister les personnes qui fournissent les services d’investissement ;
3. remettre à l’organe de direction, au moins une fois par an, un rapport sur l’environnement de contrôle, les risques identifiés, le traitement des plaintes et les mesures correctives ;
4. contrôler le traitement des plaintes.

Elle s’appuie sur un programme de suivi fondé sur les risques, qui couvre tous les services et activités d’investissement de l’entreprise.

Ce que CiD Consulting prend en charge

• Le contrôle interne en sous-traitance : RCSI par délégation, ou assistance ponctuelle de votre RCSI.
• Le programme de contrôles permanents et la cartographie de vos risques.
• La rédaction de vos procédures.
• Le rôle d’interlocuteur des autorités lors de leurs missions de contrôle.
• La mise en place et la gestion des relations avec vos agents liés.
• Les formations annuelles de vos équipes (anti-blanchiment, abus de marché…).
• Les dossiers d’agrément et l’activation des passeports européens.

Nous intervenons notamment sur les services d’investissement et services connexes suivants : réception et transmission d’ordres, exécution d’ordres pour compte de tiers, gestion pour compte de tiers, conseil en investissement, placement, tenue de compte-conservation, production et diffusion d’analyse financière.

Ce que prévoient les textes pour une fonction de conformité externalisée

• Des tâches, pas la responsabilité. L’entreprise peut externaliser des tâches de la fonction de conformité, mais pas ses responsabilités (orientations de l’ESMA, § 77). L’externalisation n’entraîne aucune délégation de la responsabilité des dirigeants effectifs (arrêté du 3 novembre 2014, article 237).
• Un prestataire choisi avec soin. Avant de le choisir, l’entreprise vérifie que le prestataire a l’autorité, les ressources, l’expertise et l’accès aux informations nécessaires (§ 78), et qu’il peut exercer la fonction en permanence, pas seulement dans des cas particuliers (§ 79).
• Un suivi de la prestation. L’entreprise contrôle la qualité et la quantité du travail fourni ; ses dirigeants en assurent la surveillance (§ 80).
• Un cadre écrit. L’externalisation donne lieu à une évaluation du risque avant la signature, à un contrat écrit et à une politique de contrôle des prestataires (arrêté, article 238).
• La continuité. L’entreprise prévoit comment reprendre la fonction, ou la confier à un autre prestataire, à la fin du contrat (§ 85).

Pourquoi CiD Consulting ?

• Depuis 2006, CiD Consulting accompagne plus de 200 établissements financiers dans leurs questions de conformité et de contrôle interne, en assistance ponctuelle ou en délégation RCSI / RCCI.
• Une fondatrice ancienne RCSI : Cindy Elalouf a été titulaire de la carte professionnelle de RCSI dès sa création en 1997 et a exercé 10 ans comme responsable du contrôle interne au sein des groupes Crédit Lyonnais puis Natixis.
• Des consultants experts en réglementation, qui ont exercé des responsabilités opérationnelles auprès des autorités de régulation et de contrôle, de prestataires de services d’investissement (banque, courtier) ou de sociétés de gestion.
• Une lettre d’actualité chaque semaine : les Flash Info de CiD Consulting.
• Un organisme de formation certifié Qualiopi au titre des actions de formation.
• CiD Comply, notre offre complète de digitalisation des contrôles internes : contrôles, procédures, cartographie des risques, incidents et registres sur une plateforme unique, avec piste d’audit et pilotage en temps réel. Découvrir CiD Comply

Questions fréquentes

Qu’est-ce qu’un RCSI ?

C’est le responsable de la conformité pour les services d’investissement : la personne désignée par l’organe de direction pour diriger la fonction de vérification de la conformité d’une entreprise d’investissement ou d’une banque qui fournit des services d’investissement (règlement délégué (UE) 2017/565, article 22, paragraphe 3). Il est titulaire d’une carte professionnelle de RCSI (règlement général de l’AMF, article 312-2).

Une entreprise d’investissement peut-elle externaliser sa fonction de conformité ?

Oui, en tout ou partie. Les orientations de l’ESMA sur la fonction de conformité (orientation 11) le prévoient, dans le respect des règles d’externalisation de MIF 2 (article 16, paragraphe 5, de la directive 2014/65/UE et article 31 du règlement délégué (UE) 2017/565). L’entreprise reste pleinement responsable et doit garder la capacité de surveiller la fonction externalisée.

Qui reste responsable en cas d’externalisation ?

L’entreprise et ses dirigeants effectifs. Selon l’arrêté du 3 novembre 2014, les tâches de contrôle confiées à un prestataire extérieur restent sous la responsabilité des personnes que l’entreprise a désignées pour le contrôle permanent (articles 21 et 237).

Le contrôle permanent peut-il être confié au RCSI ?

Oui. Pour une entreprise d’investissement, le contrôle permanent prévu par l’arrêté du 3 novembre 2014 peut être confié aux personnes en charge des contrôles prévus par le règlement général de l’AMF, et leur responsable peut assumer la responsabilité du contrôle permanent (article 19). Cette règle ne concerne pas les entreprises d’investissement de classe 3, non soumises à cette partie de l’arrêté (article 2 bis).

Le RCSI peut-il aussi être responsable des risques ?

Dans une entreprise d’investissement, les responsabilités de vérification de la conformité prévues par l’arrêté peuvent être confiées au responsable de la conformité relevant de l’AMF, c’est-à-dire le RCSI (article 34). Si l’étendue, la nature et la complexité des activités le justifient, la même personne peut aussi être responsable de la gestion des risques, à condition qu’il n’y ait pas de conflit d’intérêts, qu’elle n’exerce pas de fonctions commerciales, financières ou comptables, qu’elle ait les compétences requises dans les deux domaines et le temps suffisant (article 32). Ces articles ne s’appliquent pas aux entreprises d’investissement de classe 3 (article 2 bis).

Une petite entreprise d’investissement doit-elle séparer contrôle permanent et contrôle périodique ?

Pas forcément. Lorsque sa taille ne le justifie pas, ces responsabilités peuvent être confiées à une seule personne ou aux dirigeants effectifs, sauf pour les entreprises d’investissement de classe 1 bis (arrêté du 3 novembre 2014, article 18). Dans ce cas, ou lorsque des circonstances particulières le justifient, l’entreprise peut confier des tâches d’exécution des contrôles à un prestataire extérieur, sous la responsabilité des responsables du contrôle permanent et dans les conditions des articles 237 à 240 (article 21). Les entreprises d’investissement de classe 3 ne sont pas soumises à ces articles (article 2 bis). Voir notre page Audit et contrôle périodique externalisés.

Parlons de votre dispositif

Vous envisagez d’externaliser votre fonction de conformité, ou de renforcer votre RCSI ? Contactez CiD Consulting : 06 03 20 15 87, contact@cidconsulting.net, du lundi au vendredi de 8 h 30 à 18 h 30.

À lire aussi : Flash Info : l’arrêté du 3 novembre 2014 modifié en 2026 · Audit et contrôle périodique externalisés

Sources : règlement délégué (UE) 2017/565, articles 22 et 31 · règlement général de l’AMF, article 312-2 · arrêté du 3 novembre 2014 relatif au contrôle interne · orientations de l’ESMA sur certains aspects des exigences de la fonction de conformité MIF II (ESMA35-36-1952).