Dans un établissement bancaire ou financier, tout le monde contrôle quelque chose. Le chargé d’opérations vérifie sa saisie, le responsable de la conformité vérifie les procédures, l’auditeur interne vérifie les deux. Cette superposition n’est pas une redondance : elle est voulue par la réglementation, qui distingue le contrôle permanent et contrôle périodique et les répartit sur trois niveaux. Bien comprendre qui fait quoi évite deux travers fréquents : des contrôles en double sur certains sujets, et aucun contrôle sur d’autres.
En bref
- L’article 12 de l’arrêté du 3 novembre 2014 prévoit trois niveaux de contrôle distincts.
- Les deux premiers niveaux assurent le contrôle permanent ; le troisième assure le contrôle périodique.
- Le contrôle périodique est confié à la fonction d’audit interne, indépendante des deux autres.
- Chaque dispositif a son responsable désigné et son dirigeant effectif de rattachement (articles 16 et 17).
- Les petites structures bénéficient d’aménagements (article 18), sans dispense de fond.
Trois niveaux, deux natures de contrôle
L’arrêté du 3 novembre 2014 a été clarifié sur ce point par sa révision entrée en vigueur le 28 juin 2021 : il articule désormais explicitement les trois niveaux de contrôle avec les notions de contrôle permanent et de contrôle périodique.
- Premier niveau. Il est assuré par des agents exerçant des activités opérationnelles. Ces agents identifient les risques induits par leur activité et respectent les procédures et les limites fixées.
- Deuxième niveau. Il est assuré par des agents exclusivement dédiés à la gestion des risques, y compris le risque de non-conformité. Ils vérifient notamment que les risques ont été identifiés et gérés par le premier niveau selon les règles prévues. Ce niveau repose sur la fonction de vérification de la conformité et la fonction de gestion des risques.
- Troisième niveau. Il est assuré par la fonction d’audit interne, composée d’agents distincts de ceux des deux premiers niveaux, qui ne sont associés à aucune autre ligne d’activité ou fonction de contrôle.
Le texte rattache ensuite ces niveaux à deux natures de contrôle. Les deux premiers assurent le contrôle permanent de la conformité, de la sécurité et de la validation des opérations. Le troisième assure, au moyen d’enquêtes, le contrôle périodique.
Contrôle permanent et contrôle périodique : le tableau comparatif
| Contrôle permanent | Contrôle périodique | |
|---|---|---|
| Niveaux concernés | Premier et deuxième niveaux | Troisième niveau |
| Qui l’exerce | Opérationnels, fonction de conformité, fonction de gestion des risques | Fonction d’audit interne |
| Mode d’intervention | En continu, au fil des opérations | Par enquêtes, selon un plan d’audit |
| Objet | Conformité, sécurité et validation des opérations réalisées | Conformité des opérations, niveau de risque encouru, respect des procédures, efficacité du contrôle permanent |
| Responsable désigné | Responsables des fonctions de deuxième niveau (article 16) | Responsable de la fonction d’audit interne (article 17) |
| Rythme imposé | Permanent par nature | Cycle complet en cinq ans au plus (article 25) |
La différence essentielle tient à l’objet : le contrôle permanent porte sur les opérations, le contrôle périodique porte aussi sur le contrôle permanent lui-même. C’est pourquoi l’un ne peut pas tenir lieu de l’autre.
Les règles d’indépendance
L’efficacité de l’ensemble repose sur des séparations que l’arrêté formule sans ambiguïté.
- Séparation des unités. L’article 14 demande une stricte indépendance entre les unités chargées de l’engagement des opérations et celles chargées de leur validation, de leur règlement et du suivi des diligences liées à la gestion des risques.
- Neutralité des responsables du deuxième niveau. Lorsqu’ils ne sont pas dirigeants effectifs, ils n’effectuent aucune opération commerciale, financière ou comptable (article 16).
- Indépendance de l’audit interne. Les agents de la fonction d’audit interne exercent leurs missions de manière indépendante à l’égard de l’ensemble des entités et services qu’ils contrôlent (article 17).
- Accès direct à l’organe de surveillance. Le responsable de l’audit interne peut l’informer directement, et de sa propre initiative, de l’absence d’exécution des mesures correctrices décidées (article 26).
Ces principes rejoignent ceux que nous exposons, pour toute entreprise, dans notre article sur le contrôle interne : celui qui engage ne valide pas, celui qui valide ne contrôle pas son propre travail.
Les aménagements pour les petites structures
L’article 4 pose un principe général de proportionnalité : le contrôle interne est adapté à la taille, au volume des activités, aux implantations et à la nature, à l’échelle et à la complexité des risques. Trois dispositions en tirent les conséquences pratiques.
- Article 18. Lorsque la taille de l’entreprise ne justifie pas de confier les responsabilités du contrôle permanent et du contrôle périodique à des personnes différentes, elles peuvent être confiées à une seule personne, ou aux dirigeants effectifs. Les établissements de crédit et les entreprises d’investissement de classe 1 bis en sont exclus.
- Article 20. Dans un groupe, ces responsabilités peuvent être assurées au niveau d’une autre entreprise assujettie du même groupe, après accord des organes de surveillance des deux entreprises.
- Article 21. Des tâches d’exécution des contrôles peuvent être confiées à des prestataires extérieurs. C’est le fondement du contrôle périodique externalisé.
Ces aménagements portent sur l’organisation, pas sur le fond. Un établissement de dix personnes doit toujours pouvoir démontrer que ses activités ont été auditées par quelqu’un qui ne les exerce pas.
Trois situations où la frontière se brouille
Le responsable conformité qui « fait de l’audit »
Dans les petites structures, la même personne réalise parfois des contrôles de deuxième niveau et des revues qu’elle présente comme de l’audit. Si l’article 18 autorise le cumul des responsabilités, il ne transforme pas un contrôle permanent en contrôle périodique : il faut encore qu’une enquête indépendante porte sur le dispositif de conformité lui-même. C’est typiquement ce qu’un prestataire extérieur apporte.
L’audit interne qui valide des procédures
À l’inverse, un auditeur interne à qui l’on demande de rédiger ou de valider une procédure perd son indépendance pour l’auditer ensuite. La fonction d’audit recommande ; elle ne conçoit pas le dispositif qu’elle contrôle.
Le commissaire aux comptes pris pour un auditeur interne
Le commissaire aux comptes certifie les comptes : il ne se substitue ni au contrôle permanent ni au contrôle périodique. Ses travaux s’appuient sur le contrôle interne de l’entité, mais leur finalité est différente, comme nous l’expliquons dans notre article sur le déroulement d’une mission d’audit légal.
Ce que l’organe de surveillance doit pouvoir constater
- Les responsables du contrôle permanent et de l’audit interne sont nommément désignés, et leur identité a été communiquée à l’ACPR (article 22).
- Chacun dispose de moyens adaptés : nombre et qualification des personnes, outils de suivi, méthodes d’analyse des risques (article 24).
- Un plan d’audit couvre toutes les activités sur le cycle retenu.
- Les recommandations sont suivies jusqu’à leur clôture.
- Le rapport annuel de contrôle interne rend compte des deux dispositifs, permanent et périodique.
Questions fréquentes
Le contrôle permanent peut-il être externalisé ?
L’article 21 vise les tâches d’exécution des contrôles prévus à l’article 12, donc potentiellement les trois niveaux, sous la responsabilité des personnes désignées par l’établissement et dans les conditions des articles 237 à 240. La responsabilité des fonctions, elle, reste interne.
Une même personne peut-elle être responsable des deux contrôles ?
Oui, lorsque la taille de l’entreprise le justifie, dans les conditions de l’article 18. Cette faculté n’est pas ouverte aux établissements de crédit ni aux entreprises d’investissement de classe 1 bis.
Le contrôle périodique porte-t-il sur la lutte contre le blanchiment ?
Oui. Le dispositif de lutte contre le blanchiment et le financement du terrorisme relève depuis 2021 d’un arrêté distinct, du 6 janvier 2021, mais il entre dans le champ des enquêtes de l’audit interne. Voir aussi notre article sur les obligations LCB-FT du commissaire aux comptes.
Qui contrôle l’audit interne ?
La fonction rend compte aux dirigeants effectifs et à l’organe de surveillance. Son organisation et ses travaux sont en outre examinés par l’ACPR dans le cadre de son contrôle.
Conclusion
Contrôle permanent et contrôle périodique ne sont pas deux intensités d’un même contrôle : ce sont deux fonctions aux objets différents, que la réglementation veut indépendantes l’une de l’autre. Les établissements de petite taille peuvent alléger l’organisation, mais pas supprimer le regard indépendant du troisième niveau. Lorsque ce regard ne peut pas être porté en interne, il se confie à un tiers : c’est l’objet de notre mission d’audit bancaire et de contrôle périodique externalisé.