Lorsqu’un contrôleur de l’ACPR arrive dans un établissement, il ne commence pas par les opérations : il demande les procédures. Leur existence, leur date et leur cohérence avec la pratique disent en quelques heures si l’établissement est organisé. Le manuel de procédures n’est pas une bonne pratique laissée à l’appréciation de chacun : l’arrêté du 3 novembre 2014 en fait une obligation, et en précise le contenu minimal.
En bref
- L’article 254 impose d’élaborer et de tenir à jour des manuels de procédures adaptés aux différentes activités.
- L’article 255 exige en outre une documentation du contrôle interne, en sept rubriques.
- L’article 256 veut que cette documentation soit consultable à la demande par les dirigeants, l’organe de surveillance, les commissaires aux comptes et l’ACPR.
- Le niveau de détail est proportionné à la taille et aux risques de l’établissement.
- Une procédure non appliquée est un constat aggravant, pas une protection.
Ce que disent les textes
Le titre VI de l’arrêté du 3 novembre 2014 organise la documentation des établissements soumis au contrôle de l’ACPR. Trois articles se suivent.
L’article 254 dispose que les entreprises assujetties élaborent et tiennent à jour des manuels de procédures adaptés relatifs à leurs différentes activités. Ces documents décrivent notamment les modalités d’enregistrement, de traitement et de restitution des informations, les schémas comptables et les procédures d’engagement des opérations.
L’article 255 ajoute une documentation qui précise les moyens destinés à assurer le bon fonctionnement du contrôle interne, y compris celui du dispositif de lutte contre le blanchiment et de gel des avoirs.
L’article 256 impose que la documentation soit organisée de façon à pouvoir être mise à la disposition, à leur demande, des dirigeants effectifs, de l’organe de surveillance, des commissaires aux comptes et du secrétariat général de l’ACPR.
Les sept rubriques de la documentation du contrôle interne
| Rubrique de l’article 255 | Documents qui y répondent habituellement |
|---|---|
| a) Les différents niveaux de responsabilité | Organigramme, délégations de pouvoirs, fiches de fonction des responsables de contrôle |
| b) Les attributions et les moyens des dispositifs de contrôle interne | Charte de contrôle interne, plan de contrôle permanent, charte d’audit interne |
| c) Les règles qui assurent l’indépendance de ces dispositifs | Règles de séparation des tâches, rattachement des fonctions de contrôle, gestion des conflits d’intérêts |
| d) Les procédures relatives à la sécurité, à la gestion des opérations et des changements des systèmes d’information et à la continuité d’activité | Politique de sécurité, procédure de gestion des changements, plan d’urgence et de poursuite de l’activité |
| e) Une description des systèmes de mesure, de limitation et de surveillance des risques | Politique de risques, limites, tableaux de bord, procédure de traitement des dépassements |
| f) Le mode d’organisation du dispositif de contrôle de la conformité | Politique de conformité, procédure de validation des nouveaux produits, procédure de remontée des dysfonctionnements |
| g) Pour les prestataires de services d’investissement : gestion de trésorerie et cantonnement des fonds de la clientèle | Procédure de cantonnement, suivi de la trésorerie prévisionnelle |
La colonne de droite donne des exemples d’usage : le texte fixe le contenu à couvrir, non la forme ni le nombre des documents.
Le socle des procédures opérationnelles
L’article 254 vise les procédures métier. Pour chaque activité agréée, le manuel décrit au minimum :
- L’engagement des opérations : qui peut engager l’établissement, dans quelles limites, avec quelle validation.
- L’enregistrement et le traitement : saisie, contrôles, pièces justificatives, délais.
- Les schémas comptables : comment chaque type d’opération se traduit en comptabilité.
- La restitution : production des états de gestion et des états réglementaires.
D’autres articles de l’arrêté appellent des procédures spécifiques, qui viennent compléter ce socle : procédures d’examen de la conformité et de contrôle des opérations (article 35), politique formalisée de contrôle des prestataires externes (article 238), dispositif de gestion de la continuité d’activité (article 215). Ce dernier fait l’objet de notre article sur le plan de continuité d’activité.
Proportionner sans vider
L’article 4 de l’arrêté demande d’adapter l’ensemble des dispositifs à la taille, au volume des activités, aux implantations et à la complexité des risques. Un établissement de paiement de quinze personnes n’a pas à produire le corpus d’un groupe bancaire. Mais la proportionnalité porte sur le volume et le niveau de détail, pas sur les thèmes : chacune des rubriques doit être couverte, fût-ce en quelques pages.
L’expérience des contrôles montre deux écueils symétriques. Le premier est le corpus squelettique, où des pans entiers de l’activité ne sont décrits nulle part. Le second est le corpus pléthorique, acheté ou recopié, que personne dans l’établissement n’a lu : il expose davantage, car il crée des engagements que l’établissement ne tient pas.
Tenir à jour : l’obligation oubliée
Le texte ne demande pas seulement d’élaborer des manuels, mais de les tenir à jour. Trois mécanismes simples y pourvoient :
- Un responsable par document, chargé de sa révision.
- Un versionnage : date, numéro de version, nature de la modification, validation.
- Des déclencheurs de révision : évolution réglementaire, nouveau produit, nouveau prestataire, changement d’outil, recommandation d’audit, incident.
Une revue annuelle de l’ensemble du corpus, même légère, permet de dater chaque document de moins d’un an, ce qui répond à la question la plus fréquente des contrôleurs.
Le lien avec le contrôle
Les procédures sont la référence du contrôle interne. Le contrôle permanent vérifie qu’elles sont appliquées ; le contrôle périodique vérifie en outre qu’elles sont adaptées, comme nous l’expliquons dans notre article sur le contrôle permanent et le contrôle périodique. Une procédure bien écrite prévoit donc sa propre vérification : elle indique quelle trace chaque étape doit laisser.
Les modifications significatives des dispositifs de contrôle figurent enfin dans le rapport annuel de contrôle interne transmis à l’ACPR.
Questions fréquentes
Faut-il un document unique ?
Non. Le texte parle de « manuels » et d’une « documentation » : un ensemble de documents référencés dans un sommaire commun répond à l’exigence, à condition d’être organisé pour être consultable.
Qui valide les procédures ?
La responsabilité de la conformité à l’arrêté incombe aux dirigeants effectifs et à l’organe de surveillance (article 241). Certains dispositifs doivent être validés par l’organe de surveillance, comme la gestion de la continuité d’activité.
Le commissaire aux comptes peut-il demander les procédures ?
Oui. L’article 256 le cite expressément parmi les personnes à la disposition desquelles la documentation doit pouvoir être mise.
Comment rédiger une procédure utile ?
Voir notre méthode pour rédiger une procédure interne. Les publications de l’ACPR précisent ses attentes par type d’établissement.
Conclusion
Le manuel de procédures est à la fois une obligation réglementaire et la mémoire de l’établissement. Court, à jour et fidèle à la pratique, il simplifie les contrôles au lieu de les compliquer. Paris Ouest Audit rédige et met à jour ce corpus dans le cadre de sa mission de rédaction des procédures internes.