Instruction n°78/AMF-UMOA/2023

d AUTORITÉ DES MARCHÉS FINANCIERS DE L’UNION MONÉTAIRE QUEST AFRICAINE le Secrétaire Général

RELATIVE AU DISPOSITIF DE CONTRÔLE INTERNE ET DE GESTION DES RISQUES DU DÉPOSITAIRE CENTRAL / BANQUE DE RÈGLEMENT (DC/BR)

L’Autorité des Marchés Financiers de l’Union Monétaire Ouest Africaine,

Vu le Traïté révisé de l’Union Monétaire Ouest Africaine (UMOA) du 12 juillet 2019, entré en vigueur le 1" octobre 2022, modifiant la dénomination du Conseil Régional de l’Epargne Publique et des Marchés Financiers (CREPMF) en Autorité des Marchés Financiers de l’UMOA (AMF-UMOA] ;

Vu la Convention du 3 juillet 1996 portant création du Conseil Régional de l’Épargne Publique et des Marchés Financiers, notamment son Annexe portant composition, organisation, fonctionnement et atiributions du Conseil Régional de l’Épargne Publique et des Marchés Financiers ;

Vu le Règlement Général n°001/97 du 28 novembre 1997 relatif à l’organisation, au fonctionnement et au contrôle du marché financier régional notamment en ses articles lO0et 16;

Vu l’Instruction n°3/97 du 29 novembre 1997 relative à l’habilitation du Dépositaire Central/Banque de Règlement ;

Vu la Décision n° 004 du 29/04/2021/CM/UMOA portant nomination du Président du Conseil Régional de l’Épargne Publique et des Marchés Financiers ; Vu les délibérations de l’AMF-UMOA en sa 50%" session extraordinaire du 24 septembre 2021 tenue par visioconférence ;

Vu les délibérations de l’AMFUMOA en sa 98é" session ordinaire du 23 décembre 2023, tenue à Cotonou en République du Bénin ;

ARRÊTE:

#TITRE 1 — DISPOSITIONS GENERALES

#Article 1 — Définitions

Aux fins de la présente Instruction, on entend par :

a) b} d) e) f gl

Audit interne : Activité indépendante et objective qui donne à une organisation une assurance sur le degré de maîtrise de ses opérations, lui opporte ses conseils pour les améliorer, et contribue à créer de la valeur ajoutée. l’audit interne doit évaluer les processus de gouvernance de l’organisation, de management des risques et de contrôle, et contribuer à leur amélioration sur la base d’une approche systématique, méthodique et fondée sur une approche par les risques.

Appétence pour le risque : Le niveau et le type de risque que le DC/BR est disposé à assumer dans ses expositions et ses activités pour réaliser ses objectifs stratégiques et ses obligations.

Chartes d’audit interne et de conformité : Documents qui définissent le positionnement des fonctions d’audit interne et de conformité au sein de la structure agréée et précisent l’organisation, les pouvoirs, les responsabilités et les modalités de fonctionnement desdites fonctions.

Cartographie des risques : Représentation synthétique et visuelle des risques du DC/BR. Elle constitue ainsi un outil de mise en évidence des risques à couvrir en priorité.

La cartographie des risques est établie sur la base d’un système d’identification et d’évaluation rigoureuse des risques inhérents au DC/BR à partir des facteurs internes (métiers et activités, modifications organisationnelles, etc.) et externes [conditions économiques, progrès technologiques, changements législatifs et réglementaires, etc.).

Comité d’audit : Comité instauré par l’organe délibérant pour l’assisier dans l’exercice de ses missions, et en particulier vérifier la fiabilité et la transparence des informations financières, apprécier la pertinence des méthodes comptables ainsi que la qualité du dispositif de contrôle interne et du dispositif de gestion des risques, évaluer la stratégie d’audit et proposer le cas échéant, des pistes d’amélioration.

Contrôle Interne : Mesures mises en place par les organes exécutifs et qui ont pour but d’assurer que :

= les objectifs posés par le DC/BR sont réalistes et oîteints ;

m les ressources sont utilisées de façon économique et efficiente, les risques sont contrôlés adéquatement ;

« le patrimoine est protégé ;

# ‘information financière et l’information de gestion sont complètes et fiables ;

les lois et réglementations ainsi que les politiques, les plans, les règles et les procédures internes sont respectés.

Cycle des contrôles : Intervalle au cours duquel toutes les activités et les entités du DC/BR auront été vérifiées au moins une fois par lo fonction d’audit interne.

h} Dépositaire Central / Banque de Règlement ou DC/BR : Lo société autorisée, par agrément de l’AMFUMOA à exercer, sur l’ensemble du territoire des États de l’Union, les activités ci-après : la conservation et la circulation scripturale des titres, la gestion du cycle des règlements]ivraisons, le règlement des soldes des compensations relatives aux transactions boursières.

| Dispositif de Contrôle Interne (DCI) : Ensemble des règles, méthodes ei mesures de contrôle régissant la structure organisationnelle et opérationnelle du DC/BR. || comprend les processus de reporting et les fonctions de contrôle.

1] Fonctions de contrôle : Les fonctions indépendantes de la gestion opérationnelle, dont le rôle est de fournir des évaluations objectives quant à la qualité et a l’efficacité du DCI, des dispositifs de gouvemance, de gestion des risques de non-conformité, en vue de faciliter la maîtrise des activités et des risques encourus. Elles comprennent notamment la fonction d’audit interne, la fonction de gestion des risques et la fonction de conformité.

• k) Gestion des risques : L’ensemble des stratégies, politiques et procédures mises en place

afin que tout risque significatif et toute concentration de risques associée soient détectés, mesurés, limités, maîtrisés et atténués, et qu’il en soit rendu compte, de façon précoce et exhaustive.

| Normes en vigueur : L’ensemble des règles régissant l’exercice des activités du DC/BR, notamment :

= les dispositions légales et réglementaires ;

= les codes de conduite et de déontologie internes ;

= les principes pour les Infrastructures de Marché édictés par le Comité de Bâle et l’Organisation Internationale des Commissions de Valeurs [OICV).

m} Organe délibérant : Le Conseil d’Administration dons les sociétés anonymes ou l’organe collégial dans les sociétés constituées sous une autre forme. || est investi de tous les pouvoirs pour agir en toutes circonstances ou nom du DC/BR, dans la limite de l’objet social et des compétences réservées à l’Assemblée Générale.

• n) Organe exécutif : Tout comité ou structure qui concourt à la gestion courante du DC/BR

et assure l’application effective de l’orientation de l’activité définie par l’organe délibérant.

• o) Piste d’audit : Ensemble de procédures internes permanentes permettant d’assurer la

traçabilité des opérations, de justifier toute information par une pièce d’origine à partir de laquelle il doit être possible de remonter, par un cheminement ininterrompu, au document de synthèse et réciproquement et d’expliquer l’évolution des soldes d’un arrêté comptable à l’autre, grâce à la conservation des mouvements ayant affecté les postes comptables.

p} Risque de non-conformité : le risque de sanction judiciaire, administrative ou disciplinaire, de perte financière, d’atteinte à la réputation, que le DC/BR peut subir en raison de l’inobservation des normes en vigueur régissant l’exercice de ses activités.

/ instruction Â" B 12023/AMF-umoA

• q) Risque opérationnel : le risque de pertes résultant de carences ou de défaillances

afiribuables à des processus, des personnes, des systèmes internes ou à des événements externes. Cette notion inclut le risque juridique mais exclut les risques stratégiques et de réputation.

• r) Risque stratégique : le risque que les stratégies d’affaires du DC/BR soient inefficaces,

ne soient pas bien mises en œuvre ou adaptées aux changements touchant le contexte commercial.

#Article 2 — Objet

La présente Instruction fixe les règles en matière de dispositif de contrôle interne applicables au DC/BR dont l’objectif est de :

= vérifier que les opérations réalisées, l’organisation et les procédures internes sont conformes aux dispositions législatives et règlementaires en vigueur, aux normes et usages professionnels et déontologiques ainsi qu’aux orientations des organes délibérant et exécutif ;

= s’assurer que les orientations, les instructions et les limites fixées par l’organe délibérant en matière de risques sont strictement respectées ;

« veiller à la fiabilité de l’information comptable et financière, en particulier aux conditions de collecte, d’évaluation, d’enregistrement, de conservation et de disponibilité de cette information.

Elle fixe également les règles en matière de gestion des risques applicables au DC/BR, telle que définie à l’article 1 de ladite Instruction.

#Article 3 — Périmètre de contrôle

La gouvernance d’entreprise du DC/BR intègre un DCI sur lequel doit reposer la gestion saine et prudente de l’entité. Ce dispositif comporte :

« lo surveillance de la fiavilité et l’intégrité des informations financières et opérationnelles et les moyens utilisés pour identifier, évaluer, classer et rapporter ces informations ;

« la vérification de la conformité des opérations réalisées et de l’organisation avec les dispositions législatives, réglementaires et prudentielles en vigueur, les normes et usages professionnels et déontologiques, les orientations et décisions des organes délibérants et exécutifs, notamment en matière de risques, de pouvoirs et de signature ainsi que les procédures internes ;

# le suivi et l’évaluation de l’efficacité du dispositif de gestion des risques de l’entité.

L’organisation du contrôle interne doit s’appuyer sur l’environnement de contrôle, l’évaluation des risques, les activités de contrôle, l’information et la communication et le pilotage.

#Article 4

Environnement de contrôle

l’organe délibéront doit veiller à la mise en place d’un environnement de contrôle adéquat, lequel constitue le cadre et la struciure nécessaires à la réalisation des objectifs du dispositif de contrôle interne.

Un environnement de contrôle adéquat implique :

#Article 5

l’engagement des organes de gouvernance en faveur de la promotion de l’intégrité et des valeurs éthiques au sein du DC/BR ;

l’instauration d’une culture qui met en évidence, à tous les niveaux de l’organisation, l’importance du contrôle interne ;

une implication effective de l’organe délibérant dans le suivi des composantes du dispositif de contrôle interne ;

une définition claire et cohérente des missions, fonctions et responsabilités, y compris des délégations de pouvoirs explicites en matière de limites ;

l’existence d’un personnel compétent et d’un dispositif de gestion des ressources humaines permettant au DC/BR d’attirer, de développer et de maintenir des compétences en lien avec ses objectifs ;

une forte adhésion du personnel aux exigences de contrôle qui lui sont assignées ainsi qu’au devoir de rendre compte de ses responsabilités en la matière ;

les supervisions par chaque responsable hiérarchique de l’application effective des procédures de contrôle interne par ses collaborateurs ;

la définition de critères qualitatifs par les organes délibérants et exécutifs du DC/BR afin de mesurer et d’évaluer l’efficacité du Dispositif de Contrôle Interne.

Les lignes de défense du DCI

Le DCI est organisé de façon à fournir des appréciations objectives de la situation du DC/BR, la maitrise des risques et la conformité de son fonctionnement aux règles et procédures en vigueur. || comprend :

un contrôle permanent de premier niveau qui correspond, à l’ensemble des contrôles réalisés par les unités opérationnelles et leur hiérarchie dans le cadre du traitement des

opérations quotidiennes, ce qui constitue la première ligne de défense ;

un contrôle permanent de deuxième niveau qui correspond, aux contrôles exécutés par les fonctions supports indépendantes des unités opérationnelles, qui forment la

deuxième ligne de défense représentée par les fonctions de conformité et de gestion des risques ;

un contrôle périodique qui correspond aux contrôles a posteriori réalisés dans le cadre d’un plan d’audit élaboré à partir d’une cartographie des risques, ce qui constitue la dernière ligne de défense représentée par la fonction d’audit interne. Le plan d’audit élaboré par l’approche par les risques doit être réaliste et flexible afin de permettre le mél

respect du cycle de contrôle et la prise en charge des activités imprévues. || doit régulièrement faire l’objet de mise à jour en vue de répondre aux changements de l’environnement interne et externe du DC/BR.

#Article 6 — Responsabilité de l’organe délibérant

l’organe délibérant est responsable en dernier ressort de l’existence d’un dispositif de contrôle interne au sein du DC/BR ainsi que de la bonne application du DCI à l’ensemble de l’organisation de la structure agréée. || est tenu de :

= définir et valider, selon une périodicité adaptée, le niveau de risque acceptable auquel le DC/BR est exposé, notamment par la fixation de limites acceptables de risques de contrepartie, de liquidité et de marché ainsi que par la mise en place de dispositifs appropriés pour encadrer les risques opérationnels et de non-conformité ;

= veiller à la mise en place et à la mise à jour d’une organisation, des politiques et

procédures écrites de contrôle inteme, pour une saine et prudente gestion des activités du DC/BR ;

« veiller à la séparation des tâches incompatibles, notamment les fonctions de décision, de détention des valeurs, d’enregistrement et de contrôle ;

= s’assurer que les fonctions de contrôle disposent de moyens appropriés pour exécuter ses missions en toute indépendance.

#Article 7 — Comité d’audit

Les prérogatives minimales du Comité d’audit consistent à :

« examiner l’efficacité du DCI mis en place pour identifier, évaluer, gérer et contrôler les risques financiers et non financiers ;

= évoluer la politique d’audit inteme et le cycle des contrôles, y compris la politique d’escalade lors de la matérialisation de risques importants ;

= participer à la sélection des Commissaires aux Comptes et à l’examen des conclusions de leurs travaux, conformément aux dispositions légales et réglementaires ;

= analyser la conformité du respect des principes déontologiques et comptables y P RAnaIp P

appliqués avec les normes et usages professionnels en vigueur ;

« examiner de manière approfondie les états de synthèse annuels avant leur présentation aux organes délibéranis ;

« donner aux organes de gouvernance une assurance raisonnable quant à la qualité et à l’efficacité du dispositif de contrôle interne, des dispositifs de gouvernance et de gestion des risques en vue de faciliter leur maîtrise des activités du DC/BR et des risques encourus.

|| fait également des propositions auxdits organes pour renforcer l’efficacité de ces systèmes et dispositifs.

#Article 8 — Responsabilités de l’organe exécutif

L’organe exécutif est tenu de metire en place un DCI conforme aux bonnes pratiques et de surveiller son adéquation et son efficacité. Le DCI doit être adapté au profil de risque du DC/BR.

L’organe exécufif veille à ce que les politiques et procédures soient développées et appliquées efficacement par les personnes qui disposent de la compétence en la matière et que toutes les personnes concernées comprennent et assument leurs responsabilités à cet égard. || définit les critères d’escalade en réponse à la matérialisation des risques et s’assure de la mise en œuvre des mesures appropriées.

|| doit notamment :

s’assurer, du bon fonctionnement des dispositifs de contrôle interne et de gestion des risques et prendre des mesures nécessaires pour remédier, en temps opportun, à toute carence ou insuffisance relevée ;

• Informer les fonctions de contrôle, à temps, de tous nouveaux développements, initiatives, projets, produits et changements opérationnels ainsi que des risques y

relatifs ;

• S’assurer que des mesures appropriées sont prises dans les délais fixés pour mettre en œuvre toutes les actions correctrices découlant des recommandations de l’audit interne,

des Commissaires aux Comptes ou de l’AMF-UMOA ;

• promouvoir l’indépendance des fonctions de contrôle et mettre à leur disposition les ressources nécessaires pour mener à bien leurs missions ;
• rendre compte régulièrement à l’organe délibérant de l’efficacité du dispositif de

contrôle interne.

#Article 9 — Obligations du personnel

Chaque membre du personnel du DC/BR coit :

• effectuer avec diligence l’ensemble des activités de contrôle qui lui sont attribuées ;
• disposer de toutes les informations nécessaires pour notamment établir, faire fonctionner et surveiller le dispositif de contrôle interne.

#TITRE 2 — GESTION DE LA CONFORMITE

#Article 10 — Caractéristiques de la politique de conformité

Le DC/BR doit se doter d’une politique de conformité qui, notamment : = assure le respect des principes fondamentaux fixés par l’organe délibérant ; # instaure la fonction conformité au sein du DC/BR :

= prescrit l’élaboration d’une charte de conformité ;

= précise les aspects fondamentaux du risque de non-conformité ;

= établit les responsabilités des organes de gouvernance dons la mise en œuvre du cadre de gestion du risque de non-conformité ;

= institue un programme de formation continue à l’intention des employés et de tous ceux qui sont chargés de la mise en œuvre et de la surveillance de la politique de conformité.

#Article 11 — — Charte de conformité

La charte de conformité doit notamment :

= exposer les objectifs de la fonction conformité, établir son indépendance et définir ses responsabilités ainsi que ses compétences ;

= décrire clairement les relations de lo fonction conformité avec les autres fonctions de contrôle et les services du DC/BR qui exécutent des tâches liées à ses responsabilités ;

= accorder à la fonction conformité le droit de communiquer avec tout membre du personnel et d’accéder à tout dossier physique ou électronique nécessaire à l’exercice de ses responsabilités ;

= conférer à la fonction conformité le pouvoir de diligenter des investigations ;

= formaliser les tâches et les obligations de la fonction conformité qui peuvent être déléguées à d’autres services et fonctions du DC/BR ou externalisées auprès de prestaires externes ;

= définir les conditions dans lesquelles la fonction conformité peut recourir, en cas de besoin, à des experts externes.

La charte de conformité doit refléter les évolutions enregistrées dans les normes en vigueur. Le DC/BR est tenu de la mettre à jour dans les meilleurs délais pour tenir compte de ces changements.

Tout projet d’externalisation de la fonction conformité doit être approuvé par l’organe délibérant et soumis à l’autorisation de l’AMF-UMOA avant sa mise en œuvre.

ef 0

#Article 12 — Indépendance

la fonction conformité doit être indépendante des unités qu’elle contrôle. Pour assurer l’indépendance de cette fonction, l’organe exécutif doit veiller à mettre en ploce un dispositif organisationnel exempt de conflits de tâches et de fonctions. En outre, les ressources y dédiées ne doivent pas être en situation de conflits d’intérêts.

La fonction conformité doit avoir accès aux organes délibérant et exécutif, afin de signaler toute irrégularité constatée ou manquement éventuel.

#Article 13 — — Ressources

la fonction conformité doit disposer des ressources humaines nécessaires à la réalisation de ses missions. Elle doit être adaptée à la taille du DC/BR, la nature et la complexité de ses activités ainsi qu’à son profil de risque.

Le DC/BR doit désigner un responsable de la fonction en charge de la coordination à l’échelle de l’organisation de la gestion du risque de non-conformité ainsi que de la supervision des activités de la fonction. Le responsable de la fonction conformité doit être doté d’une expérience avérée en matière d’audit et de conformité.

#Article 14 — Compétence

Les ressources humaines affectées à la fonction conformité doivent posséder un niveau élevé de connaissance des activités du DC/BR et des normes qui lui sont applicables.

Le DC/BR doit prendre les dispositions pour que ces ressources humaines maintiennent à jour leurs connaissances desdites normes.

#Article 15 — Responsabilités générales

La fonction conformité est chargée d’aider l’organe exécutif à identifier et à gérer avec diligence tout risque d’inobservation, par le DC/BR, des obligations que lui imposent les normes en vigueur régissant l’exercice de ses activités.

#Article 16 — Responsabilités spécifiques

Les responsabilités spécifiques de la fonction conformité consistent notamment à :

=” recenser et à communiquer à l’ensemble du personnel concemé, les normes en vigueur régissant l’exercice des activités du DC/BR ;

« identifier, évaluer et gérer, de manière proactive, les risques de non-conformité, y compris lors du développement de nouveaux produits ou marchés, activités ou relations émetteurs et adhérents aux services du DC/BR.

En outre, si le DC/BR dispose d’un Comité de nouveaux produits ou marchés, la fonction conformité doit y être représentée.

f La fonction conformité doit également :

• centraliser et analyser fous les manquements aux normes en vigueur et à la politique de

conformité ;

• recommander des mesures correctrices pour remédier aux manquements et

insuffisances relevées ;

• effectuer le suivi de la mise en œuvre de toutes ses recommandations :

« évaluer l’adéquation de la politique de conformité, au regard des évolutions enregistrées dans les activités du DC/BR, les normes en vigueur et sur la base des insuffisances relevées. Elle doit, le cos échéant, formuler des propositions d’amendements ;

= veiller à une mise en œuvre diligente de la politique de conformité. La fonction conformité doit s’assurer que les règles édictées dans la politique de conformité sont déclinées dans des procédures, des manuels de conformité et des contrôles internes pour les domaines relevant directement de la fonction conformité. Les domaines d’intervention relevant directement de la fonction conformité concernent notamment lo luite contre le blanchiment de capitaux et le financement du terrorisme ainsi que lo protection des intérêts des émetteurs et des investisseurs.

En outre, d’autres prérogatives compatibles avec ses missions peuvent lui être confiées, notamment assurer la licison avec les organismes externes de réglementation et de normalisation.

La fonction conformité doit être impliquée et consultée préalablement à la mise en place de procédures de contrôle interne.

Elle doit s’assurer en permanence que la politique de conformité du DC/BR est respectée à tous les niveaux de l’organisation, notamment :

= Sensibiliser et former le personnel : La fonction conformité doit initier des actions visant à sensibiliser et former le personnel sur l’importance de l’appropriation des normes en vigueur et du respect de la politique conformité. Elle établit et met en œuvre, à cet effet, un programme de formation destiné au personnel.

= Documenter ses travaux : La fonction conformité est tenue de documenter l’ensemble de ses travaux en vue de garantir une traçabilité de ses interventions et de ses conclusions.

#Article 17 — — Détection d’anomalies de conformité

Toutes anomalies et déficiences significatives de conformité qui constitueraient un manquement aux dispositions réglementaires de l’AMF-UMOA doivent faire l’objet d’une documentation et d’un rapport circonstancié spécifique adressé à l’organe délibérant du DC/BR et à l’AMFUMOA.

Les rapports de la fonction conformité contenant des constats mettant en cause les dirigeants ne peuvent être modifiés par ces derniers.

Toutefois, les personnes mises en cause peuvent formuler des observations sur les constats dressés. Les observations formulées doivent être jointes au rapport de contrôle.

le nontespect de ces dispositions expose les contrevenants aux sanctions prévues por la réglementation, sans préjudice des sanctions pénales.

#Article 18 — Contrôle de la fonction conformité par la fonction d’audit interne

Les activités de la fonction conformité doivent être soumises à un examen périodique par lo fonction d’audit interne. Pour éviter tout conflit de responsabilité et de fonction, la fonction conformité ne peut faire partie de la fonction d’audit interne.

#Article 19 — Reporting du Responsable de la Conformité aux organes de gouvernance

Le responsable de la fonction conformité doit communiquer aux organes de gouvernance, dans les meilleurs délais, les incidents significatifs de non-conformité et les manquements à la politique de conformité. || rend compte à l’organe délibérant ou à un comité spécialisé auquel il est rattaché, au moins une fois par an, de l’exécution de sa mission. || produit un rapport semestriel sur l’évaluation du risque de non-conformité. Ce rapport doit être adopté au profil de risque et aux activités du DC/BR et couvrir notamment :

# les réalisations de la fonction conformité, au regard des objectifs qui lui ont été fixés ; # les moyens humains et matériels mis en œuvre pour atteindre ses objectifs ;

= la cartographie des incidents de non-conformité à l’échelle du DC/BR, en mettant en exergue les principales insuffisances relevées, les mesures correctrices engagées et le suivi effectué.

#TITRE 3 — GESTION DES RISQUES

#Article 20 — | Principe de proportionnalité

le DC/BR doit se doter d’un dispositif de gestion des risques lui permettant de gérer intégralement les risques juridiques, de contrepartie, de liquidité et opérationnel, ainsi que tout autre risque.

#Article 21 — Stratégies, politiques et procédures

Le dispositif de gestion des risques doit être basé sur des stratégies, politiques et procédures bien documentées qui permettent d’identifier, de mesurer, d’évaluer, de suivre, de déclarer et de contrôler ou d’atténuer l’ensemble des risques significatifs du DC/BR.

les stratégies, politiques et procédures doivent être dynamiques, de manière à refléter l’évolution du degré d’appéience au risque du DC/BR, son profil de risque ainsi que les conditions de marché et l’environnement macroéconomique.

f

Le DC/BR doit veiller à lo mise en œuvre de stratégies, politiques et procédures permettant d’avoir une vision globale, à l’échelle de l’organisation, de ses expositions sur chaque type de risque.

#Article 22 — Cartographie des risques

Le dispositif de gestion des risques doit comporter une cartographie des risques validée par l’organe délibérant, qui recense, évalue et hiérarchise l’ensemble des risques du DC/BR. Le DC/BR est tenu de se doter de cet outil de pilotage aux fins d’assurer une bonne gestion et un suivi adéquat des risques. La mise à jour de la cartographie doit être dynamique avec une revue globale au moins une fois par an.

#Article 23 — Culture du risque

Le DC/BR doit encourager le développement de la culture du risque à tous les niveaux de son organisation à travers notamment la formation et les actions de sensibilisation au profit de son personnel.

#Article 24 — Appétence au risque et gestion des limites

Le DC/BR doit mettre en place un dispositif d’appétence au risque approuvé, supervisé et révisé annuellement par le Conseil d’Administration et mis en œuvre par l’organe exécutif. Le DC/BR est également tenue de :

= fixer des limites globales et des limites opérationnelles au niveau de ses différentes entités. Ces limites doivent être établies de manière cohérente, conformément au degré d’appétence au risque du DC/BR, à son profil de risque et à son assise financière ;

= s’assurer d’une bonne appropriation de ces limites par le personnel concerné et d’une communication interne régulière ;

« se doter d’un dispositif d’identification et de gestion des dépassements de limites, comprenant une procédure de communication des dépassements ou niveau hiérarchique approprié, de régularisation, de suivi de la régularisation et de sanction en cas de dépassement persistant ;

# définir clairement la procédure à suivre en vue de soumettre, de manière diligente, à l’examen et à l’autorisation des organes habilités, les cas d’exceptions aux politiques, procédures et limites établies.

#Article 25 — Systèmes d’information

Le DC/BR doit mettre en place des systèmes d’information et de contrôle des risques qui lui permettent d’obtenir en temps requis les informations nécessaires pour la mise en œuvre des politiques et procédures de gestion des risques.

nmtumog org | Site web www amfumoa org

À cet effet, le DC/BR doit se doter d’un dispositif de gouvernance des données sur les risques, d’une architecture de données relatives aux risques et d’une infrastructure informatique.

Les systèmes d’information mis en place par le DC/BR devraient, en particulier :

= permeître, aussi bien en situation normale qu’en période de crise, de mesurer et d’agréger précisément et en temps requis les expositions aux risques du DC/BR, de gérer les expositions individuelles aux risques, ainsi que leurs interdépendances, et d’évaluer l’impact de divers chocs économiques et financiers qui pourraient l’affecter ;

= suivre ses expositions aux risques identifiés ;

« s’adapter pour mesurer et évaluer la taille, la composition et la qualité de l’exposition au risque à l’échelle du DC/BR et pour l’ensemble des types de risques, des produits et des contreparties ;

= assurer la disponibilité, la qualité, lo fiabilité et l’intégrité des données ;

« gorantir la transmission en temps opportun, aux organes de gouvemance, de toutes informations pertinentes et utiles à leur prise de décision.

#Article 26 — = Simulation de crise

Le DC/BR doit établir des programmes de simulations de crise, aux fins de la gestion des risques, en vue d’évaluer l’impact potentiel de scénarios adverses sévères mais plausibles sur sa solidité financière.

Ces programmes doivent inclure tous les risques importants auxquels le DC/BR est exposé. Ils doivent, en outre, prévoir des mesures correctives lorsque les résultats des simulations de crise décèlent des fragilités potentielles qui pourraient avoir une incidence négative sur la solidité financière du DC/BR.

#Article 27 — Rôles et obligations des organes de gouvernance

Les organes de gouvernance doivent notamment :

= veiller à ce que le DC/BR soit doté d’un dispositif de gestion des risques conforme aux dispositions de la présente Instruction ;

= mettre en place une fonction gestion des risques couvrant tous les risques significatifs, à l’échelle du DC/BR et disposant d’attributions distinctes de celles des unités opérationnelles ;

= préserver l’existence d’une fonction gestion des risques indépendante et dotée des ressources nécessaires ainsi que d’une autorité suffisante pour mener à bien ses missions ;

= exercer pleinement les responsabilités qui leur sont dévolues en matière de risque, conformément aux dispositions énoncées dons l’Instruction relative à la gouvernance

du Dépositaire Central / Banque de Règlement.

#Article 28 — Rôles et obligations de la fonction gestion des risques

La fonction gestion des risques doit notamment :

= appliquer la stratégie de risque approuvée par l’organe délibérant et veiller à l’élaboration de toutes les politiques et procédures afférentes à la gestion des risques ;

= contribuer à la mise en ploce effective, au sein du DC/BR, d’un dispositif de gestion intégrée des risques qui soit soutenu par une gouvernance fiable impliquant les organes de gouvemance ;

« idenfifier, évaluer, suivre et maîtriser, en temps opportun, tous les risques significatifs ;

« améliorer les systèmes, les politiques, les processus et les rapports relatifs à la gestion des risques ;

« élaborer et mettre en œuvre, sous réserve de l’examen et de l’approbation par l’organe délibérant, le dispositif de gestion des risques, qui comprend la culture du risque à ‘échelle du DC/BR, l’appétence pour le risque ainsi que les limites ;

= metre en place un système d’alerte précoce visant à détecter les cas d’infraction à 'appétence au risque et aux limites fixées par l’organe délibérant ;

= orienter, voire récuser, toute décision qui engendre une prise de risque importante pour e DC/BR, rendre compte aux organes de gouvernance de toutes ces questions et proposer des mesures appropriées pour atténuer ces risques.

La fonction gestion des risques ne doit pas s’impliquer dans les activités opérationnelles, en particulier, celles qui sont génératrices de revenus. Elle doit garder son indépendance vis-àvis des entités opérationnelles, tout en travaillant en étroite collaboration avec celles-ci.

Les ressources humaines affectées à la fonction gestion des risques doivent posséder un niveau élevé de connaissance des activités du DC/BR, de tout risque auquel il est exposé ainsi que de la manière dont ces risques sont gérés. Le DC/BR prend les dispositions pour que ces ressources humaines maintiennent à jour leurs connaissances en matière de gestion des risques.

#Article 29 — Responsable de la fonction gestion des risques

Le responsable de la fonction gestion des risques doit être doté d’une expérience avérée en la matière. [| a notamment la charge :

= de surveiller l’élaboration et la mise en œuvre du dispositif de gestion des risques ; = de renforcer constamment les compétences de ses équipes ;

= d’apporter son assistance à l’organe délibérant ou au comité des risques, le cas échéant, lorsqu’il détermine et surveille l’appétence pour le risque et les limites ;

« de participer, conjointement avec l’organe exécutif, au suivi des performances en matière de risques et de respect des limites.

Le responsable de la fonction gestion des risques doit être impliqué dans les processus clés de prise de décision relatifs notamment à la pl rihcatiof satogique, la planticaton des fonds

propres et de la liquidité, l’élaboration et la mise en œuvre du système de rémunération, les nouveaux produits, services et marchés ainsi que les initiatives et les opérations stratégiques importantes.

#Article 30 — | Contrôle des risques

Le dispositif de gestion des risques du DC/BR doit intégrer des contrôles internes rigoureux, adaptés à l’ampleur, à la nature et à la complexité de ses expositions. Ce dispositif doit également faire l’objet d’examen annuel par l’audit interne et les commissaires aux comptes qui apprécient de manière indépendante l’efficacité des systèmes et processus d’évaluation et de mesure des risques du DC/BR.

#Article 31 — Reporting à l’organe délibérant

Un rapport sur la nature et le niveau d’exposition à chaque type de risques encourus par le DC/BR ainsi que ses besoins de fonds propres et de liquidité doit être soumis à l’organe délibérant, au moins une fois par semestre. Ce rapport, basé sur des informations fiables et à jour, doit également rendre compte notamment :

« de la nature et du niveou de l’exposition au risque de concentration du DC/BR, y compris notamment les expositions par contrepartie, par secteur et por zone géographique ;

« des principaux événements de pertes opérationnelles ;

« des transactions avec les parties liées, y compris les créances en souffrance et les créances irrécouvrables ;

« des faits saillants relatifs à chaque type de risques identifiés dans la cartographie des risques du DC/BR.

#Article 32 — Événements de pertes opérationnelles

les événements de pertes opérationnelles ou incidents opérationnels doivent être classés dans l’Une des sept catégories ci-après définies, afin d’assurer la cohérence au niveau de l’identification, de l’évaluation et de la fixation des objectifs de gestion des risques opérationnels à l’échelle du DC/BR :

• 1. fraude interne : risque de pertes dues à des actes intentionnels, impliquant au moins

une partie interne au DC/BR, visant à frauder, détourner des biens appartenant au DC/BR ou à sa clientèle, manipuler des informations, contourner les règlements, la législation ou la politique du DC/BR :

• 2. fraude externe : risque de pertes résultant des actes, de la part d’un tiers, visant à

frauder, détourner des biens appartenant au DC/BR ou à sa clientèle, manipuler des informations ou contourner la législation ;

pratiques en matière d’emploi et de sécurité sur le lieu de travail : risque de pertes découlant d’actes non conformes à la législation ou aux conventions relatives à l’emploi, la santé ou la sécurité, y compris les litiges ou différends entre le DC/BR et ses employés ;

pratiques concernant les clients, les produits et l’activité commerciale : risque de pertes résultant d’un manquement, non intentionnel ou dû à la négligence, à une obligation professionnelle envers des clients ou d’un manquement imputable à la nature ou à la conception d’un produit donné ;

dommages occasionnés aux actifs physiques : risque de pertes lié à des destructions ou dommages résultant d’une catastrophe naturelle ou des causes externes ;

interruptions d’activités et défaillances des systèmes : risque de pertes résultant d’interruptions de l’activité ou de dysfonctionnements des systèmes technologiques ;

!

exécution des opérations, livraison et gestion des processus : risque de pertes lié à une défaillance dans le traitement d’une transaction ou dans la gestion des processus et les pertes subies dans le cadre des relations avec les contreparties commerciales et les fournisseurs.

#Article 33 — Collecte des données de pertes opérationnelles

Le DC/BR doit collecter les données relatives aux événements de pertes opérationnelles. Le processus y relatif doit être documenté et mis à jour périodiquement. Les données de pertes collectées doivent répondre à certains critères minimaux, afin d’uniformiser le processus de collecte à l’échelle du DC/BR ainsi qu’à travers le marché financier et faciliter les analyses comparatives. Les pertes doivent être directes, intègres, intégrales et retraçables :

la perte est directe lorsque l’événement a eu une incidence négative directe reconnue sur les résultats du DC/BR et, par conséquent comptabilisée. || s’agit de l’ensemble des frois/dépenses internes et externes encourus par le DC/BR mais qui ne l’auraient pas été sans l’événement. Les coûts d’opportunité et les revenus manqués liés à l’événement, les coûts relatifs aux modifications apportées à un processus ou à l’ajout de contrôles postévénementiels, les coûts des programmes d’investissement réactifs ou proactifs à l’événement ne sont pas considérés comme directs ;

l’intégrité des données signifie que cellesci représentent bien des pertes opérationnelles ;

l’intégralité des données veut dire que cellesci incluent l’ensemble des pertes opérationnelles subies par le DC/BR, y compris celles qui sont liées aux risques de crédit et de marché, dans la limite du seuil minimal de collecte approuvé par l’organe délibérant ;

la traçabilité découle du fait que l’intégralité et l’intégrité des données sont assurées par leur réconciliation avec les écritures comptables appropriées et par leur validation par le responsable du DC/BR.

Chaque événement à l’origine des pertes doit être documenté et conservé dans une base de données, dans le respect des politiques définies par le DC/BR en matière de conservation de données. La documentation doit comprendre, entre autres, lo référence interne du dossier, la catégorie d’événements de pertes opérationnelles, le type de risque, la description de l’incident ainsi que les entités ou les lignes de métiers concernées, le cas échéant.

#Article 34 — Outils de gestion du risque opérationnel

La gestion du risque opérationnel doit couvrir l’ensemble des sept catégories d’événements de pertes opérationnelles citées à l’article 32. Pour identifier et évaluer le risque opérationnel, le DC/BR peut recourir notamment aux outils de gestion ci-après :

= les autoévaluations du risque opérationnel ;

= la cartographie des processus opérationnels ;

« les indicateurs de risque et de performance en matière de surveillance du risque opérationnel et les indicateurs d’efficacité du dispositif de contrôle interne ;

« les analyses des événements de pertes opérationnelles tant à l’intérieur qu’à l’extérieur du DC/BR ;

« les analyses de risques spécifiques à chaque produit, processus et système en place ; « les analyses de scénarios.

Les outils mis en place doivent être utilisés de façon uniforme dans toutes les unités afin de parvenir à une évaluation complète de l’exposition au risque opérationnel.

#Article 35 — Contrôle et afténuation du risque opérationnel

le DC/BR doit prendre des mesures préventives pour réduire les pertes opérationnelles découlant d’une insuffisance liée notamment à :

• la documentation, la tenue à jour et le respect des procédures ;
• la sécurisation des actifs du DC/BR et de leur utilisation ;
• la mise à niveau des compétences et la formation des employés ;
• lo vérification et le rapprochement réguliers des opérations et des comptes ;
• l’élaboration, la mise en place et l’actualisation d’un dispositif de sécurité physique et logique du système d’information et des infrastructures de télécommunication ;

la couverture adéquate des valeurs par des polices d’assurance.

#Article 36 — … Gestion des risques liés aux nouveaux produits, processus, systèmes et

activités

Le dispositif de gestion du risque opérationnel doit, entre autres :

• prendre en compte l’identification et l’évaluation des risques inhérents aux nouveaux

produits, aux nouvelles activités, aux grandes opérations d’acquisition ainsi que ceux découlant de changements de systèmes, de processus ou de modèle économique ;

• permettre d’identifier les plus significatifs d’entre eux et d’apprécier la vulnérabilité du

DC/BR à ces risques ;

• prendre en comple à la fois les facteurs internes et externes qui pourraient empêcher

le DC/BR d’atteindre ses objectifs.

Les procédures et politiques mises en place, doivent permettre de comprendre et de gérer ces nouveaux risques. Ce processus doit prendre en compte notamment :

e les risques inhérents y relatifs ;

e les modifications du profil de risque, de l’appétence au risque qui en découlerait ;

e les contrôles nécessaires, les stratégies et processus d’atténuation des risques ainsi que le risque résiduel.

#Article 37 — Principes généraux en matière d’externalisation

Le recours à l’externalisation ne soustrait pas les organes de gouvernance du DC/BR de leurs obligations relatives à la conformité des contrats aux exigences légales et réglementaires applicables aux activités exteralisées. En outre, il ne les exonère pas de leurs obligations visàvis de toutes les parties prenantes, notamment les adhérents, les Commissaires aux Comptes et les Autorités de contrôle. || ne modifie pas les conditions d’exercice de l’agrément.

Avant de s’engager dans un contrat d’externalisation, le DC/BR doit en évaluer l’opportunité et procéder à une évaluation approfondie des risques y relatifs. Ce contrat doit être soumis à l’approbation préalable de l’organe délibérant qui doit notamment :

= examiner, au moins deux fois par an, la liste complète des contrats d’externalisation ;

= s’imprégner des rapports d’exécution desdits contrats qui lui sont transmis par l’organe exécutif.

Le DC/BR doit veiller à ce que les dispositions contractuelles permettent :

« la mise à la disposition des Commissaires aux Comptes et de l’AMFUMOA, de toutes les informations nécessaires à l’exercice de leurs contrôles ;

= la tenue de la comptabilité ainsi que la production des états de reporting conformément aux dispositions en vigueur ;

= la préservation de la sécurité du système d’information et de la confidentialité des informations ;

« la protection du consommateur et de la vie privée de l’investisseur.

L’ensemble des données physiques et électroniques du DC/BR doivent être disponibles dans l’UMOA, nonobstant l’externalisation et toute disposition prise dans le cadre de leurs plans de secours et de continuité d’activités. À cet effet, doivent être conservés et accessibles en permanence dans l’UMOA :

= les serveurs informatiques stockant les données et hébergeant les applications ;

# l’ensemble des dossiers physiques relatifs au personnel, au patrimoine, aux opérations du marché et connexes ainsi qu’à toutes les autres transactions réalisées par le DC/BR ;

Instruction af Ÿy2023/AMF-UMOA

« les archives et documents divers durant la période fixée par les dispositions légales et réglementaires.

En l’absence des serveurs primaires dans l’UMOA, des serveurs secondaires de secours doivent être disponibles dans l’Union avec une réplication de l’ensemble des données.

Tout projet de contrat d’externalisation doit être soumis à l’appréciation préalable de l’AMF-UMOA avant sa mise en œuvre. En outre, l’AMFUMOA se réserve le droit d’ordonner

la réalisation d’un audit externe auprès du prestataire.

#Article 38 — Contrat de prestations

L’externalisation d’une activité doit reposer sur des contrats et/ou des conventions de service solides, lesquels doivent notamment préciser sans équivoque :

« une description circonstanciée des activités externalisées, la nature et la portée des prestations attendues ainsi que les coûts supportés par le DC/BR :

# les devoirs et obligations respectifs du prestataire et du DC/BR ;

= le type et la fréquence des informations que le DC/BR reçoit du prestataire ;

# les actifs du DC/BR que le prestataire peut utiliser, à savoir les données, le matériel, les logiciels ou la propriété intellectuelle ;

# les conditions de résiliation, y compris le préovis du prestataire et l’exigence de restitution des actifs du DC/BR dans les délais fixés ;

« les mesures à prendre par le prestataire pour garantir la continuité de l’activité impartie en cos d’événements pouvant empêcher d’assurer les services attendus ;

« les indicateurs de performance qualitatifs et quantitatifs permettant au DC/BR d’évaluer, au moins une fois par an, la performance du prestataire.

le contrat doit contenir les clauses nécessaires en matière de confidentialité, de secret professionnel, de propriété intellectuelle. || doit être soumis à un avis juridique avant toute approbation par l’organe délibérant.

#Article 39 — Évaluation du prestataire

Préalablement à la conclusion de tout contrat d’externalisation, le DC/BR est tenu de procéder à une évaluation approfondie ou due diligence de la capacité technique, financière et opérationnelle du prestataire.

Cette évaluation est mise à jour ou moins une fois par an ainsi que lors du renouvellement et de la renégociation du contrat d’externalisation. Elle doit être documentée.

Article AO | Gestion des risques liés à l’externalisation Le DC/BR est tenu :

« de se doter de politiques et procédures qui définissent les modalités d’externalisation et lui permettent d’identifier, de mesurer, d’aiténuer et de contrôler adéquatement les risques liés à l’exteralisation ;

= d’intégrer les activités externalisées dans son dispositif de contrôle interne ;

= de se doter de compétences internes lui permettant de suivre le pilotage opérationnel du contrat d’exteralisation et l’appréciation des prestations reçues ;

« de disposer d’un plan de secours et de continuité des activités externalisées visant à assurer la continuité d’exploitation du DC/BR à la suite de la résiliation de contrat d’externalisation, ou de l’incapacité du prestataire à honorer ses engagements, ou d’une décision volontaire du DC/BR de rapatrier les activités externalisées ;

u d’assurer un suivi adéquat des activités extemalisées et veiller à ce que le prestataire procède au contrôle régulier de son plan de continuité des activités en cas de défaillance et qu’il dispose des compétences et moyens requis pour les corriger ;

« de produire, dans le rapport d’audit interne, un résumé du résultat des contrôles effectués liés aux activités externalisées.

#TITRE 4 — EXERCICE DE L’AUDIT INTERNE

Article A1 | Mise en place de la fonction d’audit interne

Le DC/BR doit se doter d’une fonction d’audit interne qui dispose du statut, des compétences, des ressources et de l’autorité suffisante pour exécuter ses missions avec efficacité et objectivité. La mission, les pouvoirs et les responsabilités de l’audit interne sont décrits dans une charte d’audit interne qui fait partie intégrante des procédures internes du DC/BR.

ll adopte une approche systématique et disciplinée des actions de contrôle sur la base d’un plan de contrôle établi à partir d’une cartographie recensant les risques qu’il encourt.

#Article 42 — Responsabilités de la fonction d’audit interne

la fonction d’audit inteme assiste les membres des organes délibérant et exécutif respectivement dans leur mission de surveillance et de gestion. Pour ce faire, elle doit notamment :

# disposer d’une charte d’audit interne, de procédures de contrôle et d’un code de déontologie ;

= avoir un mandat clair et indépendant des activités auditées, y compris les activités des autres fonctions de contrôle ;

= se doter d’outils performants lui permettant d’effectuer une surveillance basée sur les risques de l’ensemble des activités du DC/BR ainsi qu’un suivi de la mise en œuvre des recommandations, classées par degré de criticité ;

= bénéficier d’un accès complet à toutes données physiques et électroniques nécessaires à l’accomplissement de sa mission ;

= effectuer Une évaluation périodique de l’efficacité de toutes les autres fonctions de contrôle, notamment les fonctions de gestion des risques et de conformité ;

= réaliser des examens périodiques des responsabilités et fonctions des personnes détenant les postes clés, afin de s’assurer que ces responsables ne sont pas en mesure de dissimuler des agissements inappropriés.

#Article 43 — Compétences et conscience professionnelle

Les auditeurs intemes doivent posséder les connaissances, les savoirfaire et les autres compétences nécessaires à l’exercice de leurs responsabilités individuelles. L’équipe d’audit interne doit collectivement posséder ou acquérir les connaissances, les savoirfaire et les autres compétences nécessaires à l’exercice de ses responsabilités.

Le responsable de l’audit interne est tenu de solliciter l’avis et l’assistance de ressources p

qualifiées et indépendantes si les auditeurs internes ne possèdent pas les connaissances et le

savoirfaire nécessaires pour s’acquitter d’une partie de leur mission.

Les auditeurs internes doivent apporter à leur travail lo diligence et le savoirfaire que l’on peut affendre d’un auditeur interne raisonnablement averti et compélent. la conscience professionnelle n’implique pas l’infaillibilité.

La fonction d’oudit interne doit être dotée de compétences en matière d’infrastructure et de sécurité des systèmes d’information pour mieux appréhender les contrôles requis en la matière.

#Article 44 — Désignation du Responsable de la fonction d’audit interne

Sur proposition de l’organe exécutif, l’organe délibérant désigne un Responsable de la fonction d’audit qui doit disposer d’une indépendance fonctionnelle et jouir de prérogatives étendues quant au champ de ses interventions et à la communication de ses travaux auxdits organes.

En vue de consacrer cette indépendance, le Responsable de la fonction d’audit doit, au moins, être fonctionnellement rattaché à l’organe délibérant, auquel il rend compte.

#Article 45 — Révocation du Responsable de la fonction d’audit interne

le DC/BR est tenu, dans un délai de quinze (15) jours après la révocation, d’en informer l’AMFUMOA en indiquant les motifs.

#Article 46 — Responsabilité du Responsable de la fonction d’audit interne

Le Responsable de la fonction d’audit interne est chargé de gérer la fonction d’Audit Interne. Il doit être rattaché à un niveau de l’organisation qui permette à la fonction d’audit interne d’exercer ses responsabilités.

|| a la responsabilité de dresser le plan de contrôles sur la base de la cartographie des risques, s’impliquer dons sa réalisation, veiller au respect du cycle des contrôles et s’assurer de la qualité des travaux de la fonction. || vérifie que les anomalies et déficiences de contrôle inteme identifiées sont documentées dans un rapport écrit.

Il élabore la charte d’audit interne, veille à sa révision régulière et lo diffuse à toutes les parties prenantes après son approbation par l’organe délibérant par l’intermédiaire du comité d’audit.

Le responsable de l’audit interne doit, au moins chaque année, confirmer au Conseil, l’indépendance de l’audit interne dans l’organisation.

Le responsable de l’audit interne doit communiquer et dialoguer directement avec le Conseil d’Administration.

Le Responsable de la fonction d’audit interne peut, si ceci n’emporte pas conflit d’intérêts :

« être impliqué en amont des projets afin d’identifier et d’évaluer de façon proactive les enjeux et risques potentiels de non-conformité ;

« aider à sensibiliser et à former le personnel et fournir des orientations aux membres du personnel quant à l’application appropriée des lois et règlements,

#Article 47 — — Charte d’audit interne

Le responsable de l’audit interne doit élaborer et réviser, au moins tous les trois ans, la charte d’audit interne et la soumettre à l’approbation de l’organe délibérant par l’intermédiaire du Comité d’audit avant sa mise en application.

la charte d’audit inteme précise la position de la fonction d’audit inteme ou sein de l’organisation du DC/BR, sa mission, ses pouvoirs, ses obligations et son périmètre d’intervention. Elle définit les caractéristiques de la fonction et son mode de fonctionnement et de communication avec les personnes n’appartenant pas à la fonction.

#Article 48 — Plan d’audit

Le responsable de la fonction d’audit doit établir un plan d’avcit annuel ou pluriannuel pasé sur les risques. || doit également communiquer à l’organe délibérant, pour examen et approbation, son plan d’audit, ses besoins ainsi que tout changement important susceptible

d’intervenir en cours d’exercice. Ce plan, établi à partir d’une cartographie des risques du DC/BR, doit notamment :

= s’appuyer sur une évaluation rigoureuse des risques liés à l’ensemble de ses activités et entités ;

—— D —

= intégrer l’évaluation des moyens humains, matériels et financiers nécessaires à lo réalisation des actions prévues ;

« être réaliste et flexible afin de permettre le respect du cycle d’audit et la prise en charge des activités imprévues ;

• faire l’objet d’une mise à jour en vue de répondre aux changements de son

environnement interne et externe.

La fonction d’audit interne peut initier des missions non prévues dans son planning de contrôle, lorsque des circonstances particulières le nécessitent, ou sur demande de l’organe délibérant, des Comités spécialisés, du Directeur Général.

#Article 49 — Piste d’audit

La fonction d’audit inteme doit garantir l’existence de la piste d’audit telle que définie au o) de l’article 1 et veiller au respect des dispositions du référentiel comptable. Les éléments constitutifs de lo piste d’audit doivent être conservés pendant au moins dix (10 ans.

#Article 50 — Maintien et sécurité des données informatisées

La fonction d’audit inteme doit comprendre des procédures internes de sauvegarde et de reprise des systèmes qui utilisent des données informatisées, des politiques de développement et de maintenance appropriées de ces systèmes ainsi que des contrôles de sécurité d’accès physiques et logiques.

#Article 51 — Examen du rapport d’audit par le Comité d’Audit

Les rapports d’audit interne sont portés à la connaissance du Comité d’Audit afin de faire l’objet d’un examen et d’un suivi adéquot.

#TITRE 5 — REPORTING A L’AMFUMOA

#Article 52 — Reporting semestriel et occasionnel à l’AMFUMOA

Le DC/BR coit transmettre à l’AMF-UMOA, le 15 août au plus tard un rapport semestriel

consolidé présentant par rubrique les travaux réalisés par les fonctions de conformité, de gestion des risques et de l’audit interne.

En outre, le DC/BR informe, sans délai, l’AMF-UMOA de toutes insuffisances relevées par les fonctions de contrôle et ayant un impact significatif sur la réputation du DC/BR et/ou sa solidité financière.

#Article 53 — Reporting annuel

le DC/BR doit transmettre à l’AMFUMOA, le 15 mai au plus tard, pour le compte de

l’exercice précédent, un rapport annuel consolidé présentant par rubrique les travaux réalisés par les fonctions de contrôle interne.

Ce rapport devra préalablement être validé par l’organe délibérant du DC/BR.

#Article 54 — Contenu des rapports d’Audit interne

Le format de présentation des rapports d’audit interne destinés à l’AMF-UMOA est précisé par une Circulaire de l’AMFUMOA.

#TITRE 6 — DISPOSITIONS TRANSITOIRES ET FINALES

#Article 55 — Dispositions transitoires

Le Dépositaire Central / Banque de Règlement dispose d’un délai maximum de deux [02] ans

à compter de sa date de signature pour se mettre en conformité avec les dispositions de la présente Instruction.

#Article 56 — Sanctions

Le nonrespeci des règles prévues par la présente Instruction est sanctionné par l’AMF-UMOA, conformément aux dispositions réglementaires en vigueur sur le Marché Financier Régional de l’UMOA.

#Article 57 — Publication et date d’entrée en vigueur

La présente Instruction, qui sera publiée partout où besoin sera, abroge toutes dispositions antérieures contraires et entre en vigueur à compter de sa date de signature.

Le DC/BR est tenu d’en transmettre copie à tous les membres de l’organe délibérant et aux Commissaires aux comptes.

Fait à Abidjan, le 2 9 DEC. 2023

Pour l’Autorité des Marchés Financiers de |” ie — Le Président (EC ( Le Président) ABIDJAN 01 / \% $ \ ou. a Bodanam PATON ° :

S ov no sno1fT,