Rapport explicatif

Révision de l'ordonnance sur les banques (OB)

«Autorisation FinTech»

Art. 14e Compliance et gestion des risques

Al. 1

Par analogie avec les dispositions applicables aux banques, l’art. 14e, al. 1, dispose que les personnes visées à l’art. 1b LB doivent garantir leur respect des lois et des exigences réglementaires par l’intermédiaire d’une fonction de compliance. Par ailleurs, les risques inhérents à l’activité de ces personnes doivent pouvoir être identifiés, évalués, gérés et surveillés, ce qui implique une gestion efficace en la matière. À la différence des banques, les personnes visées à l’art. 1b LB ne sont soumises à aucune exigence en matière de liquidités et de fonds propres étant donné qu’elles ne sont pas exposées aux mêmes risques que les banques (voir ci-après le commentaire de l’art. 17a). Elles encourent toutefois des risques opérationnels ou des risques pouvant entacher leur réputation et doivent en tenir compte (p. ex. piratage des systèmes d’information ou accès non autorisés par suite d’erreurs de programmation). Les risques opérationnels peuvent être définis sur la base de l’art. 89 OFR comme «le risque de perte lié à l’inadéquation ou à la défaillance de procédures internes, aux personnes ou aux systèmes ou encore à des facteurs externes. Sont compris les risques juridiques, contrairement aux risques stratégiques et de réputation.» Les risques pesant sur les entreprises FinTech dépendent du modèle d’affaires retenu et des technologies utilisées.

Un système de contrôle interne englobe l’ensemble des processus et structures de contrôle sur lesquels tous les services d’une entreprise se fondent pour atteindre les objectifs opérationnels et garantir le bon fonctionnement de cette dernière. En général, les établissements financiers instituent trois organes de contrôle internes. Au premier niveau (première ligne de défense), les unités responsables des activités génératrices de revenus sont chargées de la gestion des risques, cette tâche comprenant en particulier la surveillance directe et le pilotage des risques ainsi que l’établissement de rapports. En outre, ces unités doivent veiller au respect des exigences légales dans les affaires courantes. Au deuxième niveau (deuxième ligne de défense), les fonctions chargées du contrôle des risques et de la compliance analysent les risques et vérifient que les prescriptions internes, légales et réglementaires sont appliquées. Au troisième et dernier niveau (troisième ligne de défense), les organes compétents pour la révision interne effectuent les audits requis. Pour ce qui est des personnes visées à l’art. 1b LB, chaque cas déterminera si et dans quelle mesure ces trois niveaux de surveillance devront être mis en place.

Al. 2

Les personnes visées à l’art. 1b LB doivent définir dans des documents et directives internes les instruments précis qui leur permettront de remplir les exigences citées à l’al. 1. Le premier de ces instruments consiste en l’exécution d’analyses de risques portant notamment sur l’utilisation des technologies, mais aussi sur des facteurs externes et des procédures internes. Ce n’est qu’après avoir mené ce genre d’analyse qu’il est possible de créer des structures appropriées en matière de contrôle des risques. En outre, les responsabilités doivent être déterminées de manière concrète. Une fois les risques identifiés, il faut évaluer le potentiel de perte, puis élaborer les stratégies et processus destinés à gérer les risques et à les réduire au minimum. Pour finir, il convient de définir les contrôles et les mécanismes de surveillance.

Al. 3

Pour pouvoir remplir leur fonction de manière efficace, les services chargés de surveiller la compliance et de gérer les risques doivent être indépendants des activités génératrices de revenus, autrement dit du champ d’activité principal des personnes visées à l’art. 1b LB. Cette séparation est nécessaire du fait des divergences qui existent en termes de priorités et d’intérêts entre les activités génératrices de revenus et les fonctions de contrôle qui sont exercées au titre de la surveillance. En effet, la compliance et la gestion des risques évaluent les activités sous l’angle des risques encourus, tandis que les structures opérationnelles