2548 BULLETIN OFFICIEL Nº 7248 – 2 joumada I 1445 (16-11-2023)
– mettre régulièrement à la disposition des organes d’administration et de direction un reporting synthétisant les principales faiblesses détectées en vue de prendre des mesures correctrices adéquates ;
– informer l’organe d’administration de l’état d’avancement de l’exécution des mesures correctrices décidées.
Chapitre IV Dispositif de mesure, de maîtrise et de surveillance des risques
Article 12 La SFC met en place des dispositifs de mesure des risques et des systèmes d’analyse adaptés à sa taille, et à la nature et au volume de ses opérations. Ces dispositifs et systèmes doivent être déclinés par risque, documentés, approuvés par l’organe d’administration et mis à jour annuellement si nécessaire.
Article 13 Les dispositifs de mesure, de maîtrise et de surveillance des risques doivent permettre d’appréhender l’ensemble des risques encourus par la SFC, notamment, opérationnels, juridiques, technologiques, de non- confor mité, de cybercriminalité, de modèle, de blanchiment de capitaux et de financement du terrorisme.
Article 14 Les systèmes d’analyse visés à l’article 12 ci-dessus permettent à la SFC de mesurer et de gérer toutes les causes et tous les effets significatifs des risques et de disposer d’une cartographie des risques qui identifie et évalue les risques encourus au regard de facteurs internes et externes.
Les facteurs internes comprennent notamment la complexité de l’organisation, la nature des activités exercées, la qualité du personnel et des systèmes.
Les facteurs externes comprennent notamment les conditions économiques et les évolutions réglementaires.
Article 15 La cartographie des risques mise en place devrait être actualisée, au moins une fois par an, et prendre en compte l’ensemble des risques encourus, évaluer leur adéquation par rapport aux évolutions de l’activité et identifier les actions permettant de les maîtriser.
Article 16 La SFC procède à un examen régulier des dispositifs de mesure, de maîtrise et de surveillance des risques afin d’en vérifier la pertinence et l’exhaustivité au regard de sa taille, la nature et la complexité des risques inhérents à son modèle et à ses activités.
Cet examen est organisé, géré et réalisé par l’organe de direction.
Article 17 La SFC doit disposer d’un plan de continuité de l’activité lui permettant d’assurer le fonctionnement continu de ses activités, de traiter les risques et de limiter les pertes, en cas de perturbations dues aux événements majeurs liés aux risques opérationnels.
Article 18 La SFC définit des procédures d’information des dirigeants, au moins une fois par trimestre, sur le respect des limites de risque, notamment, lorsque les limites globales sont susceptibles d’être atteintes.
L’organe d’administration de la SFC détermine les modalités de communication et de périodicité selon lesquelles les informations mentionnées au premier alinéa ci-dessus sont communiquées aux dirigeants de la SFC.
Article 19 Les activités externalisées sont les activités pour lesquelles la SFC confie à un tiers, de manière durable, la réalisation de prestations de services.
Tout projet d’externalisation d’activités relevant du périmètre d’agrément de la SFC ou toute prestation de services présentant un effet significatif sur la maîtrise des risques doit recueillir l’accord préalable de Bank Al-Maghrib.
Bank Al-Maghrib peut avoir accès à tout moment, aux informations relatives aux activités externalisées. La SFC prend les mesures nécessaires pour s’en assurer.
Les règles minimales en matière d’externalisation vers le Cloud édictées par Bank Al-Maghrib et auxquelles sont assujettis les établissements de crédit, s’appliquent à l’externalisation par la SFC de ses activités vers le Cloud.
L’application de ces règles peut être adaptée en tenant compte de la taille de celle-ci.
Article 20 Pour l’externalisation de ces activités, la SFC doit respecter ce qui suit :
– choisir le prestataire externe avec la vigilance et la prudence nécessaires, en tenant compte de sa santé financière, de sa réputation et de ses capacités techniques et de gestion. A cet égard, une attention particulière devra être accordée au risque de dépendance qui apparaît lorsque des activités ou fonctions sont confiées à un seul prestataire pendant une période prolongée ;
– mettre en place une politique formalisée d’évaluation et de contrôle des risques d’externalisation et des relations avec les prestataires externes ;
– gérer les activités externalisées dans le cadre de contrats écrits qui décrivent clairement tous les aspects matériels de l’accord d’externalisation, notamment les droits, les responsabilités et les attentes de toutes les parties ;
– s’assurer que les accords d’externalisation ne réduisent pas la capacité de la SFC à respecter ses engagements vis-à-vis des porteurs de projets, des contributeurs et de Bank Al-Maghrib ;
– évaluer dans quelle mesure le prestataire externe dispose de plans d’urgence qui sont en adéquation avec ses propres exigences en matière de continuité de l’activité ;
– être informée par le prestataire externe de tout événement susceptible d’avoir un impact significatif sur sa capacité à exercer les tâches externalisées de manière efficace et conforme à la législation et à la réglementation en vigueur ;