Instruction n°77/AMF-UMOA/2023
==============================

AMF-UMOA «es _—_—_—_—_—_—_—_——— = \_ AUTORITÉ DES MARCHÉS FINANCIERS DE L’UNION MONÉTAIRE OUEST AFRICAINE le Secrétaire Général

RELATIVE AU DISPOSITIF DE CONTRÔIE INTERNE ET DE GESTION DES RISQUES DE LA BOURSE RÉGIONALE DES VALEURS MOBILIÈRES (BRVM)

l’Autorité des Marchés Financiers de l’Union Monétaire Ouest Africaine,

Vu le Traité révisé de l’Union Monétaire Ouest Africaine [UMOA) du 12 juillet 2019, entré en vigueur le 1er octobre 2022, modifiant la dénomination du Conseil Régional de l’'Epargne Publique et des Marchés Financiers (CREPMF) en Autorité des Marchés Financiers de l’UMOA (AMF-UMOA] ;

Vu lo Convention du 3 juillet 1996 portant création du Conseil Régional de l’Épargne Publique et des Marchés Financiers, notamment son Annexe portant composition, organisation, fonctionnement et ptrikutions-du Conseil Régional de l’Épargne Publique et des Marchés Financiers ;

Vu le Règlement Général n°001/97 du 28 novembre 1997 relatif à l’organisation, au fonctionnement et au contrôle du marché financier régional notamment en ses articles 10 et 16 ;

Vu l’Instruction n°2/97 du 29 novembre 1997 relative à l’habilitation de la Bourse Régionale des Valeurs Mobilières ;

Vu la Décision n° 004 du 29/04/2021/CM/UMOA portant nomination du Président

du Conseil Régional de l’Épargne Publique et des Marchés Financiers ;

Vu les délibérations de l’AMF-UMOA en sa 50°" session extraordinaire du 24 septembre 2021 tenue par visioconférence ;

Vu les délibérations de l’AMF-UMOA en sa 98ë" session ordinaire du 23 décembre 2023, tenue à Cotonou en République du Bénin ;

ARRÊTE:

TITRE 1 — DISPOSITIONS GENERALES

Article 1 — Définitions

Aux fins de lo présente Instruction, on entend por :

a) b} c) d) f gl

Audit interne : Activité indépendante et objective qui donne à une organisation une assurance sur le degré de maîtrise de ses opérations, lui apporte ses conseils pour les améliorer, et contribue à créer de la valeur ajoutée. l’audit interne doit évaluer les processus de gouvernance de l’organisation, de management des risques et de contrôle, et contribuer à leur amélioration sur la base d’une approche systématique, méthodique et fondée sur une approche par les risques.

Appétence pour le risque : Le niveau et le type de risque que la BRVM est disposée à assumer dans ses expositions et ses activités pour réaliser ses objectifs stratégiques et ses obligations.

Bourse Régionale des Valeurs Mobilières ou BRVM : Lo société autorisée, par Agrément de l’AMFUMOA, à exercer sur l’ensemble du territoire des États de l’UMOA, les activités de cotation des valeurs mobilières, ainsi que de la diffusion des informations boursières.

Chartes d’audit interne et de conformité : Documents qui définissent le positionnement des fonctions d’audit interne et de conformité au sein de la structure agréée et précisent l’organisation, les pouvoirs, les responsabilités et les modalités de fonctionnement desdites fonctions.

Cartographie des risques : Représentation synthétique et visuelle des risques de lo BRVM. Elle constitue ainsi un outil de mise en évidence des risques à couvrir en priorité.

la cartographie des risques est établie sur lo base d’un système d’identification et d’évaluation rigoureuse des risques inhérents à la BRVM à partir des facteurs internes (métiers et activités, modifications organisationnelles, etc.) et externes (conditions économiques, progrès technologiques, changements législatifs et réglementaires, etc.).

Comité d’audit : Comité instauré par l’organe délibérant pour l’assister dans l’exercice de ses missions, et en particulier vérifier la fiabilité et la transparence des informations financières, apprécier la pertinence des méthodes comptables ainsi que lo qualité au dispositif de contrôle interne et du dispositif de gestion des risques, évaluer la stratégie d’audit et proposer le cas échéant, des pistes d’amélioration.

Contrôle Interne : Mesures mises en ploce par les organes exécutifs et qui ont pour but d’assurer que :

” les objectifs posés par la BRVM sont réalistes et atteints ;

u les ressources sont utilisées de façon économique et efficiente, les risques sont contrôlés adéquatement ;

= le patrimoine est protégé ;

8 l‘information financière et l’information de gestion sont complètes et fiables ;

Ÿ h} k] n) p) q)

« les lois et réglementations ainsi que les politiques, les plans, les règles et les procédures internes sont respectés.

Cycle des contrôles : Intervalle au cours duquel toutes les activités et les entités de lo BRVM auront été vérifiées au moins une fois par la fonction d’audit interne.

Dispositif de Contrôle Interne (DCI) : Ensemble des règles, méthodes et mesures de contrôle régissant la structure organisationnelle et opérationnelle de la BRVM. | comprend les processus de reporting et les fonctions de contrôle.

Fonctions de contrôle : Les fonctions indépendantes de la gestion opérationnelle, dont le rôle est de fournir des évaluations objectives quant à la qualité et a l’efficacité du DCI, des dispositifs de gouvernance, de gestion des risques de non-conformité, en vue de faciliter la maîtrise des activités et des risques encourus. Elles comprennent notamment la fonction d’audit interne, la fonction de gestion des risques et la fonction de conformité.

Gestion des risques : L’ensemble des stratégies, politiques et procédures mises en place afin que tout risque significatif et toute concentration de risques associée soient détectés, mesurés, limités, maîtrisés et atténués, et qu’il en soit rendu compte, de façon précoce et exhaustive.

Normes en vigueur : Ensemble des règles régissant l’exercice des activités de la BRVM, notamment :

= les dispositions légales et réglementaires ;

# les codes de conduite et de déontologie internes ;

# les principes pour les Infrastructures de Marché édictés par le Comité de Bâle et l’Organisation Internationale des Commissions de Valeurs (OICV).

Organe délibérant : Le Conseil d’Administration dans les sociétés anonymes ou l’organe collégial dans les sociétés constituées sous une autre forme. || est investi de tous les pouvoirs pour agir en toutes circonstances au nom de la BRVM, dans la limite de l’objet social et des compétences réservées à l’Assemblée Générale.

Organe exécutif : Tout comité ou structure qui concourt à la gestion courante de la BRVM et assure l’application effective de l’orientation de l’activité définie par l’organe délibérant.

Piste d’audit : Ensemble de procédures internes permanentes permettant d’assurer la traçabilité des opérations, de justifier toute information par une pièce d’origine à partir de laquelle il doit être possible de remonter, par un cheminement ininterrompu, au document de synthèse et réciproquement et d’expliquer l’évolution des soldes d’un arrêté comptable a l’autre, grâce à la conservation des mouvements ayant affecté les postes comptables.

Risque de non-conformité : le risque de sanction judiciaire, administrative ou disciplinaire, de perte financière, d’atteinte à la réputation, que la BRVM peut subir en raison de l’inobservation des normes en vigueur régissant l’exercice de ses activités.

Risque opérationnel : le risque de pertes résultant de carences ou de défaillances ofiribuables à des processus, des personnes, des systèmes internes ou à des événements ® 4/24 7 7

externes. Cette notion inclut le risque juridique mais exclut les risques stratégiques et de réputation.

r) — Risque stratégique : le risque que les stratégies d’affaires de la BRVM soient inefficaces,

ne soient pas bien mises en œuvre ou adaptées aux changements touchant le contexte commercial.

Article 2 — Objet

La présente Instruction fixe les règles en matière de dispositif de contrôle interne applicables à la BRVM dont l’objectif est de :

= vérifier que les opérations réalisées, l’organisation et les procédures internes sont conformes aux dispositions législatives et règlementaires en vigueur, aux normes et usages professionnels et déontologiques ainsi qu’aux orientations des organes délibérant et exécutif ;

= s’assurer que les orientations, les instructions et les limites fixées par l’organe délibérant en matière de risques sont strictement respectées ;

= veiller à la fiabilité de l’information comptable et financière, en particulier aux conditions de collecte, d’évaluation, d’enregistrement, de conservation et de disponibilité de cette information.

Elle fixe également les règles en matière de gestion des risques applicables à la BRVM, telle que définie à l’article 1 de ladite Instruction.

Article 3 — Périmètre de contrôle

la gouvernance d’entreprise de la BRVM intègre un DCI sur lequel doit reposer la gestion saine et prudente de l’entité. Ce dispositif comporte :

= la surveillance de la fiabilité et l’intégrité des informations financières et opérationnelles et les moyens utilisés pour identifier, évaluer, classer et rapporter ces informations ;

= la vérification de la conformité des opérations réalisées et de l’organisation avec les dispositions législatives, réglementaires et prudentielles en vigueur, les normes et usages professionnels et déontologiques, les orientations et décisions des organes délibérants et exécutifs, notamment en matière de risques, de pouvoirs et de signature ainsi que les procédures internes ;

= le suivi et l’évaluation de l’efficacité du dispositif de gestion des risques de l’entité.

L’organisation du contrôle inteme doit s‘appuyer sur l’environnement de contrôle, l’évaluation des risques, les activités de contrôle, l’information et la communication et le pilotage.

Instruction A, ' 12023/AMF-UMOA

Article 4 — 

Environnement de contrôle

l’organe délibérant doit veiller à la mise en place d’un environnement de contrôle adéquat, lequel constitue le cadre et la structure nécessaires à la réalisation des objectifs du dispositif de contrôle interne.

Un environnement de contrôle adéquat implique :

Article 5 — 

l’engagement des organes de gouvernance en faveur de la promotion de l’intégrité et des valeurs éthiques au sein de la BRVM ;

l’instauration d’une culture qui met en évidence, à fous les niveaux de l’organisation, l’importance du contrôle interne ;

une implication effective de l’organe délibérant dans le suivi des composantes du dispositif de contrôle interne ;

une définition claire et cohérente des missions, fonctions et responsabilités, y compris des délégations de pouvoirs explicites en matière de limites ;

l’existence d’un personnel compétent et d’un dispositif de gestion des ressources humaines permettant à la BRVM d’attirer, de développer et de maintenir des compétences en lien avec ses objectifs ;

une forte adhésion du personnel aux exigences de contrôle qui lui sont assignées ainsi qu’au devoir de rendre compte de ses responsabilités en la matière ;

les supervisions par chaque responsable hiérarchique de l’application effective des procédures de contrôle interne par ses collaborateurs ;

la définition de critères qualitatifs par les organes délibérants et exécutifs de la BRVM afin de mesurer et d’évaluer l’efficacité du Dispositif du Contrôle Interne.

Les lignes de défense du DCI

Le DCI est organisé de façon à fournir des appréciations objectives de la situation de la BRVM, la maitrise des risques et la conformité de son fonctionnement aux règles et procédures en vigueur. || comprend :

un contrôle permanent de premier niveau qui correspond, à l’ensemble des contrôles réalisés par les unités opérationnelles et leur hiérarchie dons le cadre du traitement des

opérations quotidiennes, ce qui constitue la première ligne de défense ;

un contrôle permanent de deuxième niveau qui correspond, oux contrôles exécutés par les fonctions supports indépendantes des unités opérationnelles, qui forment lo

deuxième ligne de défense représentée par les fonction de conformité et de gestion des risques ;

un contrôle périodique qui correspond aux contrôles à posteriori réalisés dans le cadre d’un plan d’audit élaboré à partir d’une cartographie des risques, ce qui constitue la dernière ligne de défense représentée par la fonction d’audit interne. Le plan d’auait élaboré par l’approche par les risques doit être réaliste et flexible afin de permettre le L

respect du cycle de contrôle et la prise en charge des activités imprévues. || doit régulièrement faire l’objet de mise à jour en vue de répondre aux changements de l’environnement interne et externe de lo BRVM.

Article 6 — Responsabilité de l’organe délibérant

l’organe délibérant est responsable en dernier ressort de l’existence d’un dispositif de contrôle interne au sein de la BRVM ainsi que de la bonne application du DCI à l’ensemble de l’organisation de la structure agréée. || est tenu de :

définir et valider, selon une périodicité adaptée, le niveau de risque acceptable auquel la BRVM est exposée, notamment par la fixation de limites acceptables de risques de contrepartie, de liquidité et de marché ainsi que par la mise en place de dispositifs appropriés pour encadrer les risques opérationnels et de non-conformité ;

veiller à la mise en place et à la mise à jour d’une organisation, des politiques et

procédures écrites de contrôle inteme, pour une saine et prudente gestion des activités de la BRVM ;

veiller à la séparation des tâches incompatibles, notamment les fonctions de décision, de détention des valeurs, d’enregistrement et de contrôle ;

s’assurer que les fonctions de contrôle disposent de moyens appropriés pour exécuter ses missions en toute indépendance.

Article 7 — Comité d’audit

Les prérogatives minimales du Comité d’audit consistent à :

examiner l’efficacité du DCI mis en place pour identifier, évaluer, gérer et contrôler les risques financiers et non financiers ;

évoluer la politique d’audit interne et le cycle des contrôles, y compris lo politique d’escalade lors de la matérialisation de risques importants ;

participer à la sélection des Commissaires aux Comptes et à l’examen des conclusions de leurs travaux, conformément aux dispositions légales et réglementaires ;

analyser la conformité du respect des principes déontologiques et comptables appliqués avec les normes et Usages professionnels en vigueur ;

exominer de manière approfondie les étais de synthèse annuels avant leur présentation aux organes délibérants ;

donner aux organes de gouvernance une assurance raisonnable quant à lo qualité et à l’efficacité du dispositif de contrôle interne, des dispositifs de gouvernance et de gestion des risques en vue de faciliter leur maîtrise des activités de lo BRVM et des risques encourus.

|| fait également des propositions auxdits organes pour renforcer l’efficacité de ces systèmes et dispositifs.

Article 8 — Responsabilités de l‘organe exécutif

l’organe exécutif est tenu de mettre en place un DC! conforme aux bonnes pratiques et de surveiller son adéquation et son efficacité. Le DCI doit être adapté au profil de risque de lo BRVM.

l’organe exécutif veille à ce que les politiques et procédures soient développées et appliquées efficacement par les personnes qui disposent de la compétence en la matière et que toutes les personnes concernées comprennent et assument leurs responsabilités à cet égard. || définit les critères d’escalade en réponse à la matérialisation des risques et s’assure de la mise en œuvre des mesures appropriées.

|| doit notamment :

s’assurer, du bon fonctionnement des dispositifs de contrôle interne et de gestion des risques et prendre des mesures nécessaires pour remédier, en temps opportun, à toute

carence ou insuffisance relevée ;

informer les fonctions de contrôle, à temps, de tous nouveaux développements, initiatives, projets, produits et changements opérationnels oînsi que des risques y

relatifs ;

s’assurer que des mesures appropriées sont prises dans les délais fixés pour mettre en œuvre toutes les actions correctrices découlant des recommandations de l’audit interne,

des Commissaires aux Comptes ou de l’AMFUMOA ;

promouvoir l’indépendance des fonctions de contrôle et mettre à leur disposition les ressources nécessaires pour mener à bien leurs missions ;

rendre compte régulièrement à l’organe délibérant de l’efficacité du dispositif de

contrôle interne.

Article Q Obligations du personnel Chaque membre du personnel de lo BRVM ao :

effectuer avec diligence l’ensemble des activités de contrôle qui lui sont attribuées ;

disposer de toutes les informations nécessaires pour notamment établir, faire fonctionner et surveiller le dispositif de contrôle interne.

fuk D

TITRE 2 — GESTION DE LA CONFORMITE

Article 10 — Caractéristiques de la politique de conformité

La BRVM doit se doter d’une politique de conformité qui, notamment : = assure le respect des principes fondamentaux fixés par l’organe délibérant ; = instaure la fonction conformité au sein de la BRVM :

« prescrit l’élaboration d’une charte de conformité ;

= précise les aspects fondamentaux du risque de non-conformité ;

« établit les responsabilités des organes de gouvernance dans la mise en œuvre du cadre de gestion du risque de non-conformité ;

# institue Un programme de formation continue à l’intention des employés et de tous ceux qui sont chargés de la mise en œuvre et de la surveillance de lo politique de conformité.

Article 11 — Charte de conformité

La charte de conformité doit notamment :

= exposer les objectifs de la fonction conformité, établir son indépendance et définir ses responsabilités ainsi que ses compétences ;

« décrire clairement les relations de la fonction conformité avec les autres fonctions de contrôle et les services de la BRVM qui exécutent des tâches liées à ses responsabilités ;

= accorder à la fonction conformité le droit de communiquer avec tout membre du personnel et d’accéder à tout dossier physique ou électronique nécessaire à l’exercice de ses responsabilités ;

= conférer à la fonction conformité le pouvoir de diligenter des investigations ;

u formaliser les tâches et les obligations de la fonction conformité qui peuvent être déléguées à d’autres services et fonctions de la BRVM ou extemalisées auprès de prestaires externes ;

=” définir les conditions dans lesquelles la fonction conformité peut recourir, en cas de besoin, à des experts externes.

La charte de conformité doit refléter les évolutions enregistrées dans |es normes en vigueur. La BRVM est tenue de lo mettre à jour dans les meilleurs délais pour tenir compte de ces changements.

Tout projet d’externalisation de la fonction conformité doit être approuvé par l’organe délibérant et soumis à l’autorisation de l’AMFUMOA avant sa mise en œuvre.

Tél (+725) 27 2021 5/7 42 | 727 20 31 56 20 | [mail s4WomEumoa 519 | Site web www omf umo org Instruction LU i /2023/AMF-UMOA

Article 12 — Indépendance

la fonction conformité doit être indépendante des unités qu’elle contrôle. Pour assurer l’indépendance de cette fonction, l’organe exécutif doit veiller à mettre en place un dispositif organisationnel exempt de conflits de tâches et de fonctions. En outre, les ressources y dédiées ne doivent pas être en situation de conflits d’intérêts.

Article 13 — Ressources

La fonction conformité doit avoir accès aux organes délibérant et exécutif, afin de signaler = doit être adaptée à la taille de la BRVM, la nature et la complexité de ses activités ainsi qu’à son profil de risque.

La BRVM doit désigner un responsable de la fonction en charge de la coordination à l’échelle de l’organisation de la gestion du risque de non-conformité ainsi que de la supervision des activités de la fonction. Le responsable de la fonction conformité doit être doté d’une expérience avérée en matière d’audit et de conformité.

Article 14 — Compétence

Les ressources humaines affectées à la fonction conformité doivent posséder un niveau élevé de connaissance des activités de la BRVM et des normes qui lui sont applicables.

La BRVM doit prendre les dispositions pour que ces ressources humaines maintiennent à jour leurs connaissances desdites normes.

Article 15 — Responsabilités générales

La fonction conformité est chargée d’aider l’organe exécutif à identifier et à gérer avec diligence tout risque d’inobservation, par la BRVM, des obligations que lui imposent les normes en vigueur régissant l’exercice de ses activités.

Article 16 — Responsabilités spécifiques

Les responsabilités spécifiques de la fonction conformité consistent notamment à :

= recenser et à communiquer à l’ensemble du personnel concerné, les normes en vigueur régissant l’exercice des activités de la BRVM

” identifier, évaluer et gérer, de manière proactive, les risques de nonconftormité, y compris lors du développement de nouveaux produits ou marchés, activités ou relations émetteurs et adhérents aux services de la BRVM.

En outre, si la BRVM dispose d’un Comité de nouveaux produits ou marchés, la fonction conformité doit y être représentée.

‘ A

Lo fonction conformité doit également :

centraliser et analyser tous |les manquements aux normes en vigueur et à la politique de

conformité ;

recommander des mesures correctrices pour remédier aux manquements et

insuffisances relevées ;

effectuer le suivi de la mise en œuvre de toutes ses recommandations :

« évaluer l’adéquation de la politique de conformité, au regard des évolutions enregistrées dans les activités de la BRVM, les normes en vigueur et sur la base des insuffisances relevées. Elle doit, le cas échéant, formuler des propositions d’amendements ;

«veiller à une mise en œuvre diligente de la politique de conformité. La fonction conformité doit s’assurer que les règles édictées dans la politique de conformité sont déclinées dans des procédures, des manuels de conformité et des contrôles internes pour les domaines relevant directement de la fonction conformité. Les domaines d’intervention relevant directement de la fonction conformité concernent notamment la lutte contre le blanchiment de capitaux et le financement du terrorisme ainsi que la protection des intérêts des émetteurs et des investisseurs.

En outre, d’autres prérogatives compatibles avec ses missions peuvent lui être confiées, notamment assurer la liaison avec les organismes externes de réglementation et de normalisation.

La fonction conformité doit être impliquée et consultée préalablement à la mise en place de procédures de contrôle interne.

Elle doit s’assurer en permanence que la politique de conformité de la BRVM est respectée à fous les niveaux de l’organisation, notamment :

= Sensibiliser et former le personnel : La fonction conformité doit initier des actions visant à sensibiliser et former le personnel sur l’importance de l’appropriation des normes en vigueur et du respect de la politique conformité. Elle établit et met en œuvre, à cet effet, un programme de formation destiné au personnel.

« Documenter ses travaux : La fonction conformité est tenue de documenter l’ensemble de ses travaux en vue de gorontir une traçabilité de ses interventions et de ses conclusions.

Article 17 — — Détection d’anomalies de conformité

Toutes anomalies et déficiences significatives de conformité qui constitueraient un manquement aux dispositions réglementaires de l’AMF-UMOA doivent faire l’objet d’une documentation et

d’un rapport circonstancié spécifique adressé à l’organe délibérant de la BRVM et à l’AMFUMOA.

Les rapports de la fonction conformité contenant des constats mettant en cause les dirigeants ne peuvent être modifiés par ces derniers.

LA

Toutefois, les personnes mises en cause peuvent formuler des observations sur les constats dressés. Les observations formulées doivent être jointes au rapport de contrôle.

Le non-respect de ces dispositions expose les contrevenants aux sanctions prévues par la réglementation, sans préjudice des sanctions pénales.

Article 18 — Contrôle de la fonction conformité par la fonction d’audit interne

Les activités de la fonction conformité doivent être soumises à un examen périodique par lo fonction d’audit interne. Pour éviter tout conflit de responsabilité et de fonction, la fonction conformité ne peut foire partie de la fonction d’audit interne.

Article 19 — Reporting du Responsable de la Conformité aux organes de gouvernance

Le responsable de la fonction conformité doit communiquer aux organes de gouvemance, dans les meilleurs délais, les incidents significatifs de non-conformité et les manquements à la politique de conformité. || rend compte à l’organe délibérant ou à un comité spécialisé auquel il est rattaché, ou moins une fois par an, de l’exécution de sa mission. || produit un rapport semestriel sur l’évaluation du risque de nonconformité. Ce rapport doit être adapté au profi de risque et aux activités de la BRVM et couvrir notamment :

= les réalisations de la fonction conformité, au regard des objectifs qui lui ont été fixés ; = les moyens humains et matériels mis en œuvre pour atteindre ses objectifs ;

# la cartographie des incidents de non-conformité à l’échelle de la BRVM, en mettant en exergue les principales insuffisances relevées, les mesures correctrices engagées et le suivi effectué.

TITRE 3 — GESTION DES RISQUES

Article 20 — Principe de proportionnalité

la BRVM doit se doter d’un dispositif de gestion des risques lui permettant de gérer intégralement les risques juridiques, de contrepartie, de liquidité et opérationnel, ainsi que tout autre risque.

Article 21 — Stratégies, politiques et procédures

Le dispositif de gestion des risques doit être basé sur des stratégies, politiques et procédures bien documentées qui permettent d’identifier, de mesurer, d’évaluer, de suivre, de déclarer et de contrôler ou d’atténuer l’ensemble des risques significatifs de la BRVM.

Les stratégies, politiques et procédures doivent être dynamiques, de manière à refléter l’évolution du degré d’appétence au risque de la BRVM, son profil de risque ainsi que les conditions de marché et l’environnement macroéconomique. æ

La BRVM doit veiller à lo mise en œuvre de stratégies, politiques et procédures permettant

d’avoir une vision globale, à l’échelle de l’organisation, de ses expositions sur chaque type de risque.

Article 22 — Cartographie des risques

Le dispositif de gestion des risques doit comporter une cartographie des risques validée par l’organe délibérant, qui recense, évalue et hiérarchise l’ensemble des risques de lo BRVM. Lo BRVM est tenue de se doter de cet outil de pilotage aux fins d’assurer une bonne gestion et un suivi adéquat des risques. La mise à jour de la cartographie doit être dynamique avec une revue globale au moins une fois par an.

Article 23 — Culture du risque

La BRVM doit encourager le développement de la culture du risque à tous les niveaux de son organisation à travers notamment le formation et les actions de sensibilisation au profit de son personnel.

Article 24 — Appétence au risque et gestion des limites

Lo BRVM doit mettre en place un dispositif d’appétence au risque approuvé, supervisé et révisé annuellement par le Conseil d’Administration et mis en œuvre par l’organe exécutif. La BRVM est également tenue de :

= fixer des limites globales et des limites opérationnelles au niveau de ses différentes entités. Ces limites doivent être établies de manière cohérente, conformément au degré d’appétence au risque de la BRVM, à son profil de risque et à son assise financière ;

= s’assurer d’une bonne appropriation de ces limites par le personnel concerné et d’une communication interne régulière ;

= se doter d’un dispositif d’identification et de gestion des dépassements de limites, comprenant une procédure de communication des dépassements au niveau hiérarchique approprié, de régularisation, de suivi de la régularisation et de sanction en cas de dépassement persistant ;

= définir clairement la procédure à suivre en vue de soumettre, de manière diligente, à l’examen et à l‘autorisation des organes habilités, les cas d’exceptions aux politiques, procédures et limites établies.

Article 25 — Systèmes d’information

La BRVM doit mettre en place des systèmes d’information et de contrôle des risques qui lui permettent d’obtenir en temps requis les informations nécessaires pour la mise en œuvre des politiques et procédures de gestion des risques.

Æ

À cet effet, la BRVM doit se doter d’un dispositif de gouvernance des données sur les risques, d’une architecture de données relatives aux risques et d’une infrastructure informatique.

Les systèmes d’information mis en place par la BRVM devraient, en particulier :

= permettre, aussi bien en situation normale qu’en période de crise, de mesurer et d’agréger précisément et en temps requis les expositions aux risques dans toute la BRVM, de gérer les expositions individuelles oux risques, ainsi que leurs interdépendances, et d’évaluer l’impact de divers chocs économiques et financiers qui pourraient l’affecter ;

= suivre ses expositions aux risques identifiés ;

= s’adapter pour mesurer et évaluer la taille, la composition et lo qualité de l’exposition au risque à l’échelle de la BRVM et pour l’ensemble des types de risques, des produits et des contreparties ;

= assurer la disponibilité, la qualité, la fiabilité et l’intégrité des données ;

« garantir la transmission en temps opportun, aux organes de gouvernance, de toutes informations pertinentes et utiles à leur prise de décision.

Article 26 — Simulation de crise

La BRVM doit établir des programmes de simulations de crise, aux fins de la gestion des risques, en vue d’évaluer l’impact potentiel de scénarios adverses sévères mais plausibles sur sa solidité financière.

Ces programmes doivent inclure tous les risques importants auxquels la BRVM est exposée. Ils doivent, en outre, prévoir des mesures correctives lorsque les résultats des simulations de crise décèlent des fragilités potentielles qui pourraient avoir une incidence négative sur la solidité financière de la BRVM.

Article 27 — — Rôles et obligations des organes de gouvernance

les organes de gouvernance doivent notomment :

= veiller à ce que la BRVM soit dotée d’un dispositif de gestion des risques conforme aux dispositions de la présente Instruction ;

« mettre en place une fonction gestion des risques couvrant tous les risques significatifs, à l’échelle de la BRVM et disposant d’attributions distinctes de celles des unités opérationnelles ;

= préserver l’existence d’une fonction gestion des risques indépendante et dotée des ressources nécessaires ainsi que d’une autorité suffisante pour mener à bien ses missions ;

= exercer pleinement les responsabilités qui leur sont dévolues en matière de risque, conformément aux dispositions énoncées dans l’Instruction relative à lo gouvernance

de la Bourse Régionale des Valeurs Mobilières. ,

Article 28 — Rôles et obligations de la fonction gestion des risques

Lo fonction gestion des risques doit notamment :

= appliquer la stratégie de risque approuvée par l’organe délibérant et veiller à l’élaboration de toutes les politiques et procédures afférentes à la gestion des risques ;

« contribuer à la mise en place effective, au sein de la BRVM, d’un dispositif de gestion intégrée des risques qui soit soutenu par une gouvernance fiable impliquant les organes de gouvernance ;

« identifier, évaluer, suivre et maîtriser, en temps opportun, tous les risques significatifs ;

« améliorer les systèmes, les politiques, les processus et les rapports relatifs à la gestion des risques ;

= élaborer et mettre en œuvre, sous réserve de l’examen et de l’approbation par l’organe p p 9

délibérant, le dispositif de gestion des risques, qui comprend la culture du risque à l’échelle de la BRVM, l’appétence pour le risque ainsi que les limites ;

= mettre en place un système d’alerte précoce visant à détecter les cas d’infraction à l’appétence au risque et aux limites fixées par l’organe délibérant ;

= orienter, voire récuser, toute décision qui engendre une prise de risque importante pour la BRVM, rendre compte aux organes de gouvermance de toutes ces questions et proposer des mesures appropriées pour atténuer ces risques.

la fonction gestion des risques ne doit pas s’impliquer dans les activités opérationnelles, en particulier, celles qui sont génératrices de revenus. Elle doit garder son indépendance vis-àvis des entités opérationnelles, tout en travaillant en étroite collaboration avec celles-ci.

Les ressources humaines affectées à la fonction gestion des risques doivent posséder un niveau élevé de connaissance des activités de la BRVM, de tout risque auquel elle est exposée ainsi que de la manière dont ces risques sont gérés. La BRVM prend les dispositions pour que ces ressources humaines maintiennent à jour leurs connaissances en matière de gestion des risques.

Article 29 — Responsable de la fonction gestion des risques

Le responsable de la fonction gestion des risques doit être doté d’une expérience avérée en la matière. I| a notamment la charge :

= de surveiller l’élaboration et la mise en œuvre du dispositif de gestion des risques ; « de renforcer constamment les compétences de ses équipes ;

# d’apporter son assistance à l’organe délibérant ou au comité des risques, le cas échéant, lorsqu’il détermine et surveille l’appétence pour le risque et les limites ;

= de participer, conjointement avec l’organe exécutif, au suivi des performances en matière de risques et de respect des limites.

Le responsable de la fonction gestion des risques doit être impliqué dans les processus clés de prise de décision relatifs notamment à la planification stratégique, la planification des fonds

propres et de la liquidité, l’élaboration et la mise en œuvre du système de rémunération, les nouveaux produits, services et marchés ainsi que les initiatives et les opérations stratégiques importantes.

Article 30 — Contrôle des risques

Le dispositif de gestion des risques de lo BRVM doit intégrer des contrôles internes rigoureux, adaptés à l’ampleur, à la nature et à la complexité de ses expositions. Ce dispositif doit également faire l’objet d’examen annuel par l’audit interne et les commissaires aux comptes qui apprécient de manière indépendante l’efficacité des systèmes et processus d’évaluation et de mesure des risques de la BRVM.

Article 31 — Reporting à l’organe délibérant

Un rapport sur la nature et le niveau d’exposition à chaque iype de risques encourus par la BRVM ainsi que ses besoins de fonds propres et de liquidité doit être soumis à l’organe délibérant, au moins une fois par semestre. Ce rapport, basé sur des informations fiables et à jour, doit également rendre compte notamment :

« de lo nature et du niveau de l’exposition au risque de concentration de la BRVM, y compris notamment les expositions par contrepartie, par secteur et por zone géographique ;

# des principaux événements de pertes opérationnelles ;

= des transactions avec les parties liées, y compris les créances en souffrance et les créances irrécouvrables ;

= des faits saillants relatifs à chaque type de risques identifiés dans la cartographie des risques de lo BRVM.

Article 32 — Événements de pertes opérationnelles

Les événements de pertes opérationnelles ou incidents opérationnels doivent être classés dans l’une des sept catégories ci-après définies, afin d’assurer la cohérence au niveau de l’identification, de l’évaluation et de la fixation des objectifs de gestion des risques opérationnels à l’échelle de la BRVM :

1. — fraude interne : risque de pertes dues à des actes intentionnels, impliquant au moins

une partie interne à la BRVM, visant à frauder, détourner des biens appartenant à la BRVM ou à sa clientèle, manipuler des informations, contourner les règlements, lo législation ou la politique de lo BRVM ;

2. — fraude externe : risque de pertes résultant des actes, de la part d’un tiers, visant à

frauder, détourner des biens appartenant à la BRVM ou à so clientèle, manipuler des informations ou contourner la législation ;

ï

3. — pratiques en matière d’emploi et de sécurité sur le lieu de travail : risque de pertes

découlant d’actes non conformes à la législation ou aux conventions relatives à l’emploi, la santé ou la sécurité, y compris les litiges ou différends entre la BRVM et ses employés ;

À. pratiques concernant les clients, les produits et l’activité commerciale : risque de pertes résultant d’un manquement, non intentionnel ou dû à la négligence, à une obligation professionnelle envers des clients ou d’un manquement imputable à la nature ou à la conception d’un produit donné ;

5. — dommages occasionnés aux actifs physiques : risque de pertes lié à des destructions

ou dommages résultant d’une catastrophe naturelle ou des causes externes :

6. — interruptions d’activités et défaillances des systèmes : risque de pertes résultant

d’interruptions de l’activité ou de dysfonctionnements des systèmes technologiques

7. — exécution des opérations, livraison et gestion des processus : risque de pertes lié à

une défaillance dans le traitement d’une transaction ou dans la gestion des processus et les pertes subies dans le cadre des relations avec les contreparties commerciales et les fournisseurs.

Article 33 — Collecte des données de pertes opérationnelles

la BRVM aoït collecter les données relatives aux événements de pertes opérationnelles. Le processus y relatif doit être documenté et mis à jour périodiquement. Les données de pertes collectées doivent répondre à certains critères minimaux, afin d’uniformiser le processus de collecte à l’échelle de lo BRVM ainsi qu’à travers le marché financier et faciliter les analyses comparatives. Les pertes doivent être directes, intègres, intégrales et retraçables :

= la perte est directe lorsque l’événement a eu une incidence négative directe reconnue sur les résultats de la BRVM et, par conséquent comptabilisée. || s’agit de l’ensemble des frais/dépenses internes et externes encourus par la BRVM mais qui ne l‘auraient pas été sans l’événement. Les coûts d’opportunité et les revenus manqués liés à l’événement, les coûts relatifs aux modifications apportées à un processus ou à l’ajout de contrôles postévénementiels, les coûts des programmes d’investissement réactifs ou proactifs à l’événement ne sont pas considérés comme directs ;

= l’intégrité des données signifie que celles-ci représentent bien des pertes opérationnelles ;

# l’intégralité des données veut dire que celles-ci incluent l’ensemble des pertes opérationnelles subies par la BRVM, y compris celles qui sont liées aux risques de crédit et de marché, dans la limite du seuil minimal de collecte approuvé par l’organe délibérant ;

= la traçabilité découle du fait que l’intégralité et l’intégrité des données sont assurées par leur réconciliation avec les écritures comptables appropriées et par leur validation par le responsable de la BRVM.

Chaque événement à l’origine des pertes doit être documenté et conservé dans une base de données, dans le respect des politiques définies par la BRVM en matière de conservation de données. La documentation doit comprendre, entre autres, la référence interne du dossier, la catégorie d’événements de pertes opérationnelles, le type de risque, la description de l’incident ainsi que les entités ou les lignes de métiers concemées, le cas échéant.

Article 34 — | Outils de gestion du risque opérationnel

La gestion du risque opérationnel doit couvrir l’ensemble des sept catégories d’événements de pertes opérationnelles citées à l’article 32. Pour identifier et évaluer le risque opérationnel, la BRVM peut recourir notamment aux outils de gestion ci-après :

« les autoévaluations du risque opérationnel ;

” la cartographie des processus opérationnels ;

« les indicateurs de risque et de performance en matière de surveillance du risque opérationnel et les indicateurs d’efficacité du dispositif de contrôle interne ;

= les analyses des événements de pertes opérationnelles tant à l’intérieur qu’à l’extérieur de la BRVM ;

« les analyses de risques spécifiques à chaque produit, processus et système en place ;

« les analyses de scénarios.

Les outils mis en place doivent être utilisés de facon uniforme dans toutes les unités afin de p Ç

parvenir à une évaluation complète de l’exposition au risque opérationnel.

Article 35 — Contrôle et atténuation du risque opérationnel

lo BRVM doit prendre des mesures préventives pour réduire les pertes opérationnelles découlant d’une insuffisance liée notamment à :

la documentation, la tenue à jour et le respect des procédures ;

la sécurisation des actifs de la BRVM et de leur utilisation ;

la mise à niveau des compétences et la formation des employés ;

lo vérification et le rapprochement réguliers des opérations et des comptes ;

l’élaboration, lo mise en place et l’actualisation d’un dispositif de sécurité physique et ogique du système d’information et des infrastructures de télécommunication ;

la couverture adéquate des valeurs par des polices d’assurance.

Article 36 — | Gestion des risques liés aux nouveaux produits, processus, systèmes et

activités

Le dispositif de gestion du risque opérationnel doit, entre autres :

prendre en compte l’identification et l’évaluation des risques inhérents aux nouveaux

produits, aux nouvelles activités, aux grandes opérations d’acquisition ainsi que ceux découlant de changements de systèmes, de processus ou de modèle économique ;

/ Inséructionak Î 12023/AMF-UMOA

permettre d’identifier les plus significatifs d’entre eux et d’apprécier la vulnérabilité de

la BRVM à ces risques ;

prendre en compte à lo fois les facteurs internes et externes qui pourraient empêcher

la BRVM d’atteindre ses objectifs.

Les procédures et politiques mises en place, doivent permettre de comprendre et de gérer ces nouveaux risques. Ce processus doit prendre en compte notamment :

e les risques inhérents y relatifs ;

e les modifications du profil de risque, de l’appétence au risque qui en découlerait :

e les contrôles nécessaires, les stratégies et processus d’atténuation des risques ainsi que le risque résiduel.

Article 37 — Principes généraux en matière d’externalisation

Le recours à l’externalisation ne soustrait pas les organes de gouvernance de la BRVM de leurs obligations relatives à la conformité des contrats aux exigences légales et réglementaires applicables aux activités externalisées. En outre, il ne les exonère pas de leurs obligations visà-vis de toutes les parties prenantes, notamment les adhérents, les Commissaires aux Comptes et les Autorités de contrôle. || ne modifie pas les conditions d’exercice de l’agrément.

Avant de s’engager dans un contrat d’externalisation, la BRVM doit en évaluer l’opportunité et procéder à une évaluation approfondie des risques y relatifs. Ce contrat doit être soumis à l’approbation préalable de l’organe délibérant qui doit notamment :

= examiner, au moins deux fois par an, la liste complète des contrats d’externalisation ;

« s’imprégner des rapports d’exécution desdits contrats qui lui sont transmis par l’organe exécutif.

La BRVM doit veiller à ce que les dispositions contractuelles permettent :

# la mise à la disposition des Commissaires aux Comptes et de l’AMF-UMOA, de toutes les informations nécessaires à l’exercice de leurs contrôles ;

« la tenue de la comptabilité ainsi que la production des étais de reporting conformément aux dispositions en vigueur ;

« la préservation de la sécurité du système d’information et de la confidentialité des informations ;

# la protection du consommateur et de la vie privée de l’investisseur.

L’ensemble des données physiques et électroniques de la BRVM doivent être disponibles dans l’UMOA, nonobstant l’externalisation et toute disposition prise dans le cadre de leurs plans de secours et de continuité d’activités. À cet effet, doivent être conservés et accessibles en permanence dans l’UMOA :

= les serveurs informatiques stockant les données et hébergeant les applications ;

= l’ensemble des dossiers physiques relatifs au personnel, au patrimoine, aux opérations du marché et connexes ainsi qu’à toutes les autres transactions réalisées par la BRVM ;

Instruction F7 7 /2023/ AMF-UMOA

= les archives et documents divers durant la période fixée par les dispositions légales et réglementaires.

En l’absence des serveurs primaires dons l’UMOA, des serveurs secondaires de secours doivent être disponibles dans l’Union avec une réplication de l’ensemble des données.

Tout projet de contrat d’extemalisation doit être soumis à l’appréciation préalable de l’AMF-UMOA avant sa mise en œuvre. En outre, l’AMF-UMOA se réserve le droit d’ordonner

la réalisation d’un audit externe auprès du prestataire.

Article 38 — Contrat de prestations

L’externalisation d’une activité doit reposer sur des contrats et/ou des conventions de service solides, lesquels doivent notamment préciser sans équivoque :

= une description circonstanciée des activités externalisées, la nature et la portée des prestations attendues ainsi que les coûts supportés par la BRVM ;

« les devoirs et obligations respectifs du prestataire et de la BRVM ;

« le type et la fréquence des informations que la BRVM reçoit du prestataire ;

# les actifs de la BRVM que le prestataire peut utiliser, à savoir les données, le matériel, les logiciels ou la propriété intellectuelle ;

= les conditions de résiliation, y compris le préavis du prestataire et l’exigence de restitution des actifs de la BRVM dans les délais fixés ;

« les mesures à prendre par le prestataire pour garantir la continuité de l’activité impartie en cas d’événements pouvant empêcher d’assurer les services attendus ;

= les indicateurs de performance qualitatifs et quantitatifs permettant à la BRVM d’évaluer, au moins une fois par an, la performance du prestataire.

le contrat doit contenir les clauses nécessaires en matière de confidentialité, de secret professionnel, de propriété intellectuelle. || doit être soumis à un avis juridique avant toute approbation par l’organe délibérant.

Article 39 — Évaluation du prestataire

Préalablement à la conclusion de tout contrat d’externalisation, la BRVM est tenue de procéder à une évaluation approfondie ou due diligence de la capacité technique, financière et opérationnelle du prestataire.

Cette évaluation est mise à jour au moins une fois par an ainsi que lors du renouvellement et de la renégociation du contrat d’externalisation. Elle doit être documentée.

gr

Article AO Gestion des risques liés à l’externalisation La BRVM est tenue :

= de se doter de politiques et procédures qui définissent les modalités d’externalisation et lui permettent d’identifier, de mesurer, d’aténuer et de contrôler adéquatement les risques liés à l’externalisation ;

= d’intégrer les activités externalisées dans son dispositif de contrôle interne ;

= de se doter de compétences internes lui permettant de suivre le pilotage opérationnel du contrat d’externalisation et l’appréciation des prestations reçues ;

« de disposer d’un plan de secours et de continuité des activités externalisées visant à assurer la continuité d’exploitation de la BRVM à la suite de la résiliation de contrat d’exteralisation, ou de l’incapacité du prestataire à honorer ses engagements, ou d’une décision volontaire de la BRVM de rapotrier les activités externalisées ;

= d’assurer un suivi adéquat des activités externalisées et veiller à ce que le prestataire procède au contrôle régulier de son plan de continuité des activités en cos de défaillance et qu’il dispose des compétences et moyens requis pour les corriger ;

« de produire, dans le rapport d’audit interme, un résumé du résultat des contrôles effectués liés aux activités externalisées.

TITRE 4 — EXERCICE DE L’AUDIT INTERNE

Article 41 — Mise en place de la fonction d’audit interne

La BRVM doit se doter d’une fonction d’audit interne qui dispose du statut, des compétences, des ressources et de l’autorité suffisante pour exécuter ses missions avec efficacité et objectivité. La mission, les pouvoirs et les responsabilités de l’audit interne sont décrits dans une charte d’audit interne qui fait partie intégrante des procédures internes de la BRVM.

Elle adopte une approche systématique et disciplinée des actions de contrôle sur la base d’un plan de contrôle établi à partir d’une cartographie recensant les risques qu’il encourt.

Article 42 — Responsabilités de la fonction d’audit interne

la fonction d’audit inteme assiste les membres des organes délibérant et exécutif respectivement dans leur mission de surveillance et de gestion. Pour ce faire, elle doit notamment :

= disposer d’une charte d’audit interne, de procédures de contrôle et d’un code de déontologie ;

« avoir un mandot clair et indépendant des activités auditées, y compris les activités des autres fonctions de contrôle ;

« se doter d’outils performants lui permettant d’effectuer une surveillance basée sur les risques de l’ensemble des activités de la BRVM ainsi qu’un suivi de la mise en œuvre des recommandations, classées par degré de criticité ;

= bénéficier d’un accès complet à toutes données physiques et électroniques nécessaires à l’accomplissement de sa mission ;

= effectuer une évaluation périodique de l’efficacité de toutes les autres fonctions de contrôle, notamment les fonctions de gestion des risques et de conformité ;

= réaliser des examens périodiques des responsabilités et fonctions des personnes détenant les postes clés, afin de s’assurer que ces responsables ne sont pas en mesure de dissimuler des agissements inappropriés.

Article 43 — Compétences et conscience professionnelle

les auditeurs intermes doivent posséder les connaissances, les savoimaire et les autres compétences nécessaires à l’exercice de leurs responsabilités individuelles. L’équipe d’audit interne doit collectivement posséder ou acquérir les connaissances, les savoirfaire et les autres compétences nécessaires à l’exercice de ses responsabilités.

Le responsable de l’audit inteme est tenu de solliciter l’avis et l’assistance de ressources qualifiées et indépendantes si les auditeurs internes ne possèdent pas les connaissances et le savoirfaire nécessaires pour s’acquitter d’une partie de leur mission.

Les auditeurs internes doivent apporter à leur travail la diligence et le savoirfaire que l’on peut attendre d’un auditeur interne raisonnablement averti et compétent. la conscience professionnelle n’implique pas l’infaillibilité.

La fonction d’audit interne doit être dotée de compétences en matière d’infrastructure et de sécurité des systèmes d’information pour mieux appréhender les contrôles requis en la matière.

Article 44 — Désignation du Responsable de la fonction d’audit interne

Sur proposition de l’organe exécutif, l’organe délibérant désigne un Responsable de lo fonction d’audit qui doit disposer d’une indépendance fonctionnelle et jouir de prérogatives étendues quant au champ de ses interventions et à la communication de ses travaux ouxdits organes.

En vue de consacrer cette indépendance, le Responsable de la fonction d’auait doit, au moins, être fonctionnellement rattaché à l’organe délibérant, auquel il rend compte.

Article 45 — Révocation du Responsable de la fonction d’audit interne

la BRVM est tenue, dans un délai de quinze (15) jours après la révocation, d’en informer l’AMF-UMOA en indiquant les motifs.

Instruction , / /2023/AMF-UMOA

Article A6 | Responsabilité du Responsable de la fonction d’audit interne

Le Responsable de la fonction d’audit interne est chargé de gérer la fonction d’Audit Interne. || doit être rattaché à un niveau de l’organisation qui permette à la fonction d’audit interne d’exercer ses responsabilités.

| a la responsabilité de dresser le plan de contrôles sur la base de la cartographie des risques, s’impliquer dans sa réalisation, veiller au respect du cycle des contrôles et s’assurer de la qualité des travaux de la fonction. || vérifie que les onomalies et déficiences de contrôle interne identifiées sont documentées dans un rapport écrit.

| élabore la charte d’audit interne, veille à sa révision régulière et la diffuse à toutes les parties prenantes après son approbation par l’organe délibérant par l’intermédiaire du comité d’audit.

Le responsable de l’audit interne doit, au moins chaque année, confirmer au Conseil, l’indépendance de l’audit interne dans l’organisation.

Le responsable de l’audit interne doit communiquer et dialoguer directement avec le Conseil d’Administration.

Le Responsable de la fonction d’audit interne peut, si ceci n’emporte pas conflit d’intérêts :

= être impliqué en amont des projets afin d’identifier et d’évaluer de façon proactive les enjeux et risques potentiels de non-conformité ;

= aider à sensibiliser et à former le personnel et fournir des orientations aux membres du personnel quant à l’application appropriée des lois et règlements.

Article 47 — Charte d’audit interne

Le responsable de l’audit interne doit élaborer et réviser, au moins tous les trois ans, la charte d’audit interne et la soumettre à l’approbation de l’organe délibérant par l’intermédiaire du Comité d’audit avant sa mise en application.

la charte d’audit inteme précise la position de la fonction d’audit interne au sein de l’organisation de la BRVM, sa mission, ses pouvoirs, ses obligations et son périmètre d’intervention. Elle définit les caractéristiques de la fonction et son mode de fonctionnement et de communication avec les personnes n’appartenant pas à la fonction.

Article 48 — Plan d’audit

Le responsable de la fonction d’audit doit établir un plan d’audit annuel ou pluriannuel basé sur les risques. || doit également communiquer à l’organe délibérant, pour examen et approbation, son plan d’audit, ses besoins ainsi que tout changement important susceptible d’intervenir en cours d’exercice. Ce plan, établi à partir d’une cartographie des risques de la BRVM, doit notamment :

= s’appuyer sur une évaluation rigoureuse des risques liés à l’ensemble de ses activités et entités ;

= intégrer l’évaluation des moyens humains, matériels et financiers nécessaires à la réalisation des actions prévues ;

= être réaliste et flexible afin de permettre le respect du cycle d’audit et la prise en charge des activités imprévues ;

faire l’objet d’une mise à jour en vue de répondre oux changements de son

environnement interne et externe.

La fonction d’audit interne peut initier des missions non prévues dans son planning de contrôle, lorsque des circonstances particulières le nécessitent, ou sur demande de l’organe délibérant, des Comités spécialisés, du Directeur Général.

Article 49 — Piste d’audit

La fonction d’audit interne doit garantir l’existence de la piste d’audit telle que définie au o) de l’article 1 et veiller au respect des dispositions du référentiel comptable. Les éléments constitutifs de la piste d’audit doivent être conservés pendant au moins dix (10) ans.

Article 50 — Maintien et sécurité des données informatisées

La fonction d’audit inteme doit comprendre des procédures internes de sauvegarde et de reprise des systèmes qui utilisent des données informatisées, des politiques de développement et de maintenance appropriées de ces systèmes ainsi que des contrôles de sécurité d’accès physiques et logiques.

Article 51 — Examen du rapport d’audit par le Comité d’Audit

Les rapports d’audit interne sont portés à la connaissance du Comité d’Audit afin de faire l’objet d’un examen et d’un suivi adéquat.

TITRE 5 — REPORTING A L’AMFUMOA

Article 52 — Reporting semestriel et occasionnel à l’AMF-UMOA

La BRVM doit transmettre à l’AMFUMOA, le 15 août au plus tard un rapport semestriel consolidé présentant par rubrique les travaux réalisés par les fonctions de conformité, de gestion des risques et de l’audit interne.

En outre, la BRVM informe, sans délai, l’AMF-UMOA de toutes insuffisances relevées par les fonctions de contrôle et ayant un impact significatif sur la réputation de la BRVM et/ou sa solidité financière.

Article 53 — Reporting annuel

La BRVM doit transmettre à l’AMF-UMOA, le 15 mai ou plus tard, pour le compte de l’exercice

précédent, un rapport annuel consolidé présentant par rubrique les travaux réalisés par les fonctions de contrôle interne.

Ce rapport devra préalablement être validé par l’organe délibérant de la BRVM.

Article 54 — Contenu des rapports d’Audit interne

Le format de présentation des rapports d’audit interne destinés à l’AMF-UMOA est précisé par une Circulaire de l’AMF-UMOA.

TITRE 6 — DISPOSITIONS TRANSITOIRES ET FINALES

Article 55 — Dispositions transitoires

La Bourse Régionale des Valeurs Mobilières dispose d’un délai moximum de deux (02) ans à compter de sa date de signature pour se mettre en conformité avec les dispositions de lo présente Instruction.

Article 56 — Sanctions

Le non-respect des règles prévues par lo présente Instruction est sanctionné par l’AMFUMOA, conformément aux dispositions réglementaires en vigueur sur le Marché Financier Régional de l’UMOA.

Article 57 — Publication et date d’entrée en vigueur

la présente Instruction, qui sera publiée partout où besoin sera, abroge toutes dispositions antérieures contraires et entre en vigueur à compter de sa date de signature.

La BRVM est tenue d’en transmettre copie à tous les membres de l’organe délibéront et aux Commissaires aux comptes.

Fait à Abidjan, le __2 9 DEC. 2023 Pour l’Autorité des Marchés Financiers de l’UMOA Le Président As f ES > ; / Le Président <\ ABIDJAN 01 /5) Badanam PATORT-* Ne au