Source

Circulaire FINMA Outsourcing

I But

La présente circulaire établit les exigences prudentielles auxquelles doivent répondre les solutions d’outsourcing des banques, des entreprises d’assurance et des établissements financiers conformément aux Cm 5, 6.1 et 6.2. Elle comprend des exigences qui obligent ces derniers à instaurer une organisation appropriée afin de limiter les risques.

II Concepts

Sont considérés comme « entreprises » les établissementsentrant dans le champ d’application de la présente circulaire conformément au ch. III. Une entreprise pratique un outsourcing (externalisation) au sens de cette circulaire lorsqu’elle charge un prestataire de remplir, de manière indépendante et durable, tout ou partie d’une fonction essentielle à l’activité commerciale de l’entreprise. Est réputée essentielle toute fonction dont dépend de manière significative le respect des objectifs et des prescriptions de la législation sur la surveillance des marchés financiers.

III Champ d’application

La présente circulaire est applicable :

  • aux banques et maisons de titres ayant leur siège en Suisse ainsi qu’aux succursales suisses de banques et maisons de titres étrangères ;

  • aux entreprises d’assurance ayant leur siège en Suisse et aux succursales des entreprises d’assurance étrangères qui doivent avoir obtenu l’agrément d’exploitation au sens des art. 3 et 6 LSA (agrément initial) ou l'approbation pour les différents éléments du plan d’exploitation au sens de l’art. 4 en relation avec l’art. 5 LSA (approbation de modification) ;

  • aux gestionnaires de fortune collective dont le siège est en Suisse ainsi que succursales suisses d’un gestionnaire de fortune collective étranger et directions de fonds dont le siège et l’administration principale se trouvent en Suisse ;

  • aux SICAV autogérées. Les exigences doivent être mises en œuvre en tenant compte de la taille, de la complexité, de la structure et du profil de risque de l’établissement.

IV Admissibilité

A. Dispositions communes Sous réserve des exceptions ci-après (Cm 8 à 13.3), il est permis d’externaliser toutes les fonctions essentielles. La haute direction, la surveillance et le contrôle exercés par l’organe de haute direction, les tâches centrales de conduite de la direction ainsi que les fonctions qui englobent la prise de décisions stratégiques ne peuvent pas être externalisés. Cela vaut également pour les décisions relatives à l’acceptation et à la rupture de relations d’affaires.

Les entreprises des catégories de surveillance 1 à 3 disposent d’une fonction autonome de contrôle des risques et de compliance en qualité d’instances de contrôle indépendantes. Dans les entreprises des catégories de surveillance 4 et 5, il suffit qu’une personne responsable de ces fonctions soit nommée à la direction. Les tâches opérationnelles de gestion du risque et de compliance peuvent faire l’objet d’une externalisation dans toutes les catégories de surveillance.

B. Entreprises d’assurance L’outsourcing de fonctions essentielles et l’externalisation restreinte des fonctions de contrôle sont déterminants pour le plan d’exploitation conformément à l’art. 4 al. 2 let. j en relation avec l’art. 5 al. 2 LSA et, par conséquent, soumis à approbation. L'externalisation des fonctions de conduite et de contrôle est admise dans une mesure plus large pour les captives d'assurance que pour les autres entreprises d'assurance. Sont autorisés :

  • l’outsourcing du management des captives d’assurance directe ou de réassurance ayant leur siège en Suisse (y compris les tâches de conduite centrales de la direction) auprès de sociétés de gestion des captives spécialisées dans le domaine concerné ;

  • l’outsourcing du management des succursales de captives d’assurance directe étrangères au sein du groupe ou auprès de sociétés de gestion de captives spécialisées dans le domaine concerné. La fonction prudentielle de mandataire général (art. 17 et 18 OS) ne doit pas s’en trouver restreinte.

C Gestionnaires de fortune collective, directions de fonds et SICAV

Outre les tâches qui ne peuvent pas être externalisées mentionnées au Cm 8, les tâches suivantes doivent en particulier être exercées par l’établissement financier lui-même :

• Gestionnaires de fortune collective : la gestion de portefeuille et des risques pour au moins un placement collectif de capitaux ou la fortune d’au moins une institution de prévoyance (art. 26 al. 1 LEFin).

• Directions de fonds : la direction du fonds de placement et les tâches y afférentes, telles que l’évaluation des placements ou la décision relative à l’émission de parts (art. 35 al. 1 LEFin). En outre, les externalisations ne doivent pas porter préjudice à l’administration principale en Suisse. Cela vaut également par analogie pour les SI- CAV autogérées.

V Exigences pour les entreprises externalisatrices

A. Inventaire des fonctions externalisées Un inventaire des fonctions externalisées doit être établi et tenu à jour. Il comprendra une description de la fonction externalisée, le fournisseur (y compris les sous-traitants), le bénéficiaire et l'organe responsable au sein de l’entreprise (cf. Cm 20). Les entreprises d’assurance dressent cet inventaire dans le cadre du formulaire de saisie J du plan d’exploitation.

Les établissements financiers au sens des Cm 6.1 et 6.2 ainsi que les maisons de titres

dressent cet inventaire dans le cadre de leurs principes organisationnels (art. al. 3 OEFin).

B. Choix, instruction et contrôle du prestataire Les exigences régissant l’exercice de la fonction sont définies et documentées préalablement à la conclusion du contrat, selon les buts poursuivis avec l’externalisation. Ceci englobe une analyse du risque qui intègre les réflexions économiques et opérationnelles essentielles ainsi que les risques et les opportunités qui leur sont liés. Le prestataire sera choisi après un examen de ses capacités professionnelles ainsi que de ses ressources humaines et financières. Si plusieurs fonctions sont externalisées auprès du même prestataire, il convient de prendre en compte le risque de concentration. Lors de la décision statuant sur l’outsourcing et du choix du prestataire, les possibilités et les conséquences d’un changement doivent être prises en considération. Le prestataire doit offrir la garantie d’un exercice durable de la fonction. La réintégration ordonnée de la fonction externalisée ou le transfert à un autre prestataire doivent être garantis. Les compétences respectives de l’entreprise et du prestataire doivent être déterminées et délimitées contractuellement, notamment pour ce qui est des interfaces et des responsabilités. Le système de contrôle interne de l’entreprise doit s’étendre à la fonction externalisée. Il convient d’identifier, de surveiller, de quantifier et de piloter systématiquement les risques essentiels liés à l’externalisation. L’entreprise désigne en son sein un organe responsable, chargé de la surveillance et du contrôle du prestataire. Les activités de ce dernier seront surveillées et évaluées de façon suivie, de sorte que les éventuelles mesures nécessaires puissent être prises rapidement. L’entreprise s’assure que le prestataire lui reconnaisse le droit de lui donner des instructions et de procéder aux contrôles nécessaires à cet effet.

C Externalisations au sein d’un groupe

Concernant les exigences exposées aux Cm 16 à 21 et 32 à 35, l’ancrage au sein d’un groupe peut être pris en compte dans la mesure où il est démontré que les risques habituellement liés à une externalisation n’existent pas ou que certaines exigences ne sont pas pertinentes ou sont réglementées autrement.

D. Responsabilité L’entreprise continue à assumer vis-à-vis de la FINMA la même responsabilité que celle qui serait la sienne si elle exerçait elle-même la fonction externalisée. Elle doit garantir à tout moment la conduite en bonne et due forme des affaires.

E. Sécurité En cas d’externalisations déterminantes pour la sécurité (notamment dans le domaine informatique), l’entreprise et le prestataire fixent par contrat les exigences en matière de sécurité. L’entreprise doit veiller à leur respect.

L’entreprise et le prestataire élaborent un dispositif de sécurité qui permet en cas d’urgence la continuité de la fonction externalisée. Lors de l’élaboration et de l’application du dispositif de sécurité, l’entreprise doit faire preuve du même degré de diligence que celui qu’elle adopterait si elle exerçait elle-même la fonction externalisée.

F. Audit et surveillance L’entreprise, sa société d’audit et la FINMA doivent être en mesure de vérifier le respect des dispositions prudentielles auprès du prestataire. Un droit de regard et d’examen intégral, permanent et sans entraves sur la fonction externalisée doit leur être reconnu par contrat. Les activités d’audit peuvent être déléguées à l’organe de révision du prestataire s’il dispose des compétences matérielles requises. En présence d’une telle délégation, la société d’audit de l’entreprise peut se reposer sur les résultats de l’audit effectué par l’organe de révision du prestataire. L’externalisation d’une fonction ne doit pas compliquer la surveillance par la FINMA, notamment en cas de transfert à l’étranger. Si le prestataire n’est pas assujetti à la surveillance de la FINMA, il doit s’engager par contrat envers l’entreprise à mettre à la disposition de la FINMA tous les renseignements et documents relatifs au domaine d’activités transféré dont la FINMA a besoin pour remplir ses tâches de surveillance. Lorsque les activités d’audit sont déléguées à l’organe de révision du prestataire, son rapport doit, sur demande, être mis à la disposition de la FINMA, de l’organe de révision interne et de la société d’audit de l’entreprise externalisatrice.

G. Transfert à l’étranger Un transfert à l’étranger est autorisé à condition que l’entreprise puisse expressément garantir qu’elle-même, sa société d’audit ainsi que la FINMA peuvent exercer et faire appliquer leurs droits de regard et d’examen. La capacité d’assainissement et de liquidation de l’entreprise en Suisse doit être garantie. Il faut que l’accès aux informations nécessaires à cet effet soit possible à tout moment en Suisse.

H. Contrat L’externalisation doit reposer sur un contrat écrit ou sur un contrat dont la forme permet d’apporter une preuve au moyen d’un texte. Outre la désignation des parties et une description de la fonction, ce dernier doit au minimum présenter le contenu évoqué ci-après (Cm 33 à 34) : L’entreprise s’assure d'être informée suffisamment tôt du recours, ou du changement de recours, à des sous-traitants exerçant des fonctions essentielles et de pouvoir mettre un terme à l’outsourcing de manière ordonnée au sens du Cm 18.1. En cas de recours à des sous-traitants, les obligations et les garanties du prestataire nécessaires au respect de la présente circulaire doivent leur être transférées. Il faut prendre des mesures contractuelles concrétisant la mise en œuvre des exigences visées par la présente circulaire, notamment aux Cm 21, 24, 26, 29, 30 et 31.

L’entreprise doit définir une procédure interne d’autorisation pour les projets d’outsourcing, ainsi que les compétences pour la conclusion de contrats en la matière.

VI Conditions et exceptions

Dans des cas motivés, la FINMA peut imposer des conditions à une entreprise ou la dispenser totalement ou partiellement d’observer les dispositions de la présente circulaire. Les établissements au sens des art. 47a à 47e OFR ainsi que les établissements au sens de l’art. 1b LB évaluent la pertinence ainsi que la mise en œuvre des exigences des Cm 17 à 18.1 et se prononcent à leur sujet dans le cadre de l’analyse du risque prévue par le

Cm 16.

Les établissements au sens des art. 47a à 47e OFR ainsi que les établissements au sens de l’art. 1b LB sont exemptés de l’exigence mentionnée au Cm 18.1 concernant la réintégration de la fonction externalisée. La mise en œuvre du Cm 20, pour les établissements au sens des art. 47a à 47e OFR ainsi que les établissements au sens de l’art 1b LB, peut être effectuée par le rapport régulier d’une société d’audit en tenant compte du Cm 27. Ce rapport doit permettre une évaluation des risques essentiels et les activités de contrôle du prestataire liés à l’externalisation.

VII Dispositions transitoires

La présente circulaire s’applique immédiatement aux relations d’outsourcing des banques et des maisons de titres qui sont conclues ou modifiées après son entrée en vigueur. Les relations d’outsourcing des banques et des négociants en valeurs mobilières qui existaient à l’entrée en vigueur de la présente circulaire devront être adaptées dans un délai transitoire de cinq ans à compter de ladite entrée en vigueur afin de respecter les exigences de la circulaire. Pour les entreprises d'assurance, la circulaire s’applique aux agréments initiaux dès son entrée en vigueur. Elle s’applique aux approbations des modifications à compter de la date à laquelle une modification du plan d’exploitation est soumise ou communiquée à la FINMA en vue de son approbation. Pour les établissements financiers au sens des Cm 6.1 et 6.2, la circulaire vaut pour l’autorisation initiale dès son entrée en vigueur. Elle s’applique aux approbations des modifications à compter de la date à laquelle le changement est transmis ou annoncé à la FINMA à des fins d'autorisation, mais au plus tard un an après son entrée en vigueur.

Liste des modifications

La présente circulaire est modifiée comme suit : Modifications du 31 octobre 2019 entrant en vigueur le 1er janvier 2020.

Nouveaux Cm 6.1, 18.1, 36.1, 36.2,

Cm modifiés 18, Modifications du 4 novembre 2020 entrant en vigueur le 1er janvier 2021.

Nouveaux Cm 6.1, 6.2, 13.1, 13.2, 13.3, 15.1,

Cm modifiés 1, 2, 5, le Cm 6.1 devient le Cm 6.3, 32,

Autres nouveau titre avant le Cm