AMAFI : la nouvelle Charte du Contrôle décryptée

Focus — Charte du Contrôle AMAFI : La mise à jour qui redéfinit les 3 lignes de défense

L'Association française des marchés financiers (AMAFI) vient de publier une mise à jour très attendue de sa Charte du Contrôle. Accompagnée d'une note de comparaison détaillée, cette nouvelle version vise à adapter les meilleures pratiques du secteur financier aux évolutions réglementaires récentes et aux nouveaux paradigmes de risques, notamment numériques et extra-financiers.

Cette publication s'adresse directement aux Prestataires de Services d'Investissement (PSI) et à l'ensemble des acteurs de marché membres de l'association. L'enjeu principal est de renforcer la robustesse et la clarté du dispositif de contrôle interne, en particulier en affinant la répartition des rôles et responsabilités entre les trois lignes de défense.

💡 Sujet/Concept clé : de quoi parle-t-on ?

La Charte du Contrôle de l'AMAFI n'est pas un texte réglementaire contraignant, mais une doctrine professionnelle de référence, un guide de bonnes pratiques dont l'influence est majeure sur la place de Paris. Elle fournit un cadre d'interprétation et d'application pratique des exigences réglementaires en matière de contrôle interne pour les acteurs des marchés financiers : sociétés de gestion, entreprises d'investissement, et établissements de crédit fournissant des services d'investissement.

Historiquement, cette charte a toujours eu pour objectif de décliner opérationnellement le modèle des 'trois lignes de défense'. La première ligne est constituée des équipes opérationnelles, responsables de l'identification et de la gestion des risques inhérents à leurs activités. La deuxième ligne, incarnée par les fonctions de contrôle permanent (Conformité, Risques), assure une surveillance indépendante et un rôle de conseil. Enfin, la troisième ligne, l'audit interne, fournit une assurance objective et indépendante sur l'efficacité du dispositif global. La mise à jour actuelle s'inscrit dans cette continuité tout en l'adaptant aux défis contemporains.

La base légale et réglementaire

Le socle réglementaire du contrôle interne en France est dense et exigeant. La Charte de l'AMAFI vient en complément et en illustration de ces textes. Le principal référentiel est l'arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque, des services de paiement et des services d'investissement soumises au contrôle de l'ACPR et de l'AMF. Ce texte impose un cadre strict : une gouvernance claire, une cartographie des risques exhaustive, des contrôles permanents (de premier et second niveau) et périodiques, ainsi que des dispositifs de reporting robustes.

Au niveau du Code monétaire et financier (CMF), plusieurs articles, notamment ceux découlant de la transposition de la directive MiFID II (Directive 2014/65/UE), encadrent les obligations d'organisation et de contrôle des PSI. Ces textes insistent sur la responsabilité de l'organe de direction dans la supervision du dispositif de contrôle interne et sur l'indépendance des fonctions de contrôle. Le non-respect de ces obligations expose les entités à des sanctions administratives et pécuniaires significatives de la part de l'AMF ou de l'ACPR, pouvant atteindre plusieurs millions d'euros et inclure des sanctions disciplinaires contre les dirigeants.

Les apports clés de la mise à jour

La nouvelle version de la Charte, éclairée par sa note de comparaison, introduit plusieurs évolutions structurantes. L'analyse de ce document révèle une volonté de passer d'une vision en silos à une approche plus intégrée et dynamique du contrôle.

Premièrement, la charte insiste sur la responsabilisation accrue de la première ligne de défense. Elle ne se contente plus de la déclarer 'propriétaire du risque' (risk owner), mais détaille les attendus concrets : formalisation des contrôles managériaux, auto-évaluations régulières des risques (Risk and Control Self-Assessment - RCSA), et mise en place d'indicateurs de risque clés (KRI) pertinents. L'objectif est de rendre le contrôle de premier niveau plus proactif et moins dépendant des interventions de la deuxième ligne.

Deuxièmement, le rôle de la deuxième ligne est redéfini. Les fonctions Conformité et Risques sont encouragées à évoluer d'une posture de simple 'vérificateur' à celle de 'partenaire stratégique' et de 'challenger'. La mise à jour préconise l'utilisation d'outils d'analyse de données (data analytics) pour réaliser des contrôles plus ciblés et prédictifs. Elle clarifie également les modalités d'interaction avec les nouvelles fonctions de contrôle, comme le Délégué à la Protection des Données (DPO) et le Responsable de la Sécurité des Systèmes d'Information (RSSI).

Enfin, la charte intègre explicitement les nouveaux horizons de risques. Un chapitre dédié est consacré à la gestion des risques de cybersécurité, en lien avec le règlement DORA. De même, les risques ESG (Environnementaux, Sociaux et de Gouvernance) sont désormais considérés comme des risques transverses devant être intégrés à tous les niveaux du dispositif, de la cartographie des risques à la définition des plans de contrôle, en passant par le reporting à la direction.

Ce que ça change opérationnellement (Plan d'action)

Pour un Compliance Officer, cette mise à jour n'est pas une simple lecture, c'est une feuille de route. Voici les actions prioritaires à engager :

• Mener une analyse d'écarts (Gap Analysis) formelle : Utilisez la note de comparaison fournie par l'AMAFI pour évaluer votre dispositif actuel par rapport aux nouvelles bonnes pratiques. Documentez chaque écart et définissez un plan de remédiation avec des responsables et des échéances claires.

• Actualiser la cartographie des risques et le plan de contrôle : Organisez des ateliers avec les métiers pour intégrer les risques cyber et ESG dans la cartographie. Revoyez la criticité des risques existants et ajustez le plan de contrôle de deuxième niveau pour couvrir ces nouvelles thématiques et adopter une approche plus basée sur les données.

• Renforcer la culture du contrôle en première ligne : Collaborez avec les RH et les managers pour concevoir et déployer des modules de formation spécifiques sur les nouvelles responsabilités des opérationnels. Promouvez la mise en place et le suivi des RCSA.

• Formaliser les interactions avec les autres fonctions : Mettez en place des comités ou des points de contact réguliers avec le DPO, le RSSI et le responsable ESG pour assurer une couverture cohérente des risques et éviter les doublons dans les contrôles. Formalisez ces interactions dans les procédures internes.

• Faire évoluer le reporting : Adaptez les tableaux de bord destinés au Comité d'Audit, au Comité des Risques et à la Direction Générale. Intégrez de nouveaux indicateurs (KPIs/KRIs) sur la maturité du contrôle de première ligne, la couverture des risques cyber et ESG, et l'avancement du plan de mise en conformité avec la nouvelle charte.

• Revoir l'outillage : Évaluez si vos outils GRC (Gouvernance, Risque, Conformité) actuels permettent de supporter cette vision plus intégrée du contrôle. Le cas échéant, préparez un argumentaire pour un investissement dans des technologies plus performantes, notamment en matière de data analytics.

Sources :

• 📎 AMAFI — AMAFI / 26-37 : AMAFI – Charte du contrôle – Mise à jour – Note de comparaison