Le règlement n° 97-02 susvisé est ainsi modifié :

1. A l'article 4, au point j, les mots suivants sont ajoutés :
   « Le risque opérationnel inclut les risques de fraude interne et externe tels que définis à l'annexe IV de l'arrêté du 20 février 2007. »
2. A l'article 5, sont insérés un f et un g ainsi rédigés :
   « f) Vérifier l'exécution dans des délais raisonnables des mesures correctrices décidées au sein des entreprises assujetties ;
   « g) Vérifier l'adéquation entre la politique de rémunération et les objectifs de maîtrise des risques. »
3. Il est inséré un article 9-1 ainsi rédigé :
   « Art. 9-1. - Les entreprises assujetties définissent des procédures qui permettent :
   « a) De vérifier l'exécution dans des délais raisonnables des mesures correctrices qui ont été décidées par les personnes compétentes dans le cadre du dispositif de contrôle interne ;
   « b) Au responsable du contrôle périodique d'informer directement et de sa propre initiative le comité d'audit de l'absence d'exécution des mesures correctrices décidées. »
4. A l'article 17, à la fin du premier alinéa, sont ajoutés les mots : « ainsi que le risque opérationnel » et, au deuxième alinéa, les mots : « ainsi que le risque opérationnel » sont insérés avant les mots : « sur une base consolidée ».

Lec de l'article 4 du règlement n° 97-02 susvisé est ainsi rédigé :
« c) "comité d'audit” : un comité qui peut être créé par l'organe délibérant pour l'assister dans l'exercice de ses missions.
« L'organe délibérant choisit la dénomination du comité d'audit et en définit la composition, les missions, les modalités de fonctionnement ainsi que les conditions dans lesquelles les commissaires aux comptes ainsi que toute personne appartenant à l'entreprise sont associés à ces travaux.
« Le comité d'audit est notamment chargé, sous la responsabilité de l'organe délibérant, de :
« ― vérifier la clarté des informations fournies et porter une appréciation sur la pertinence des méthodes comptables adoptées pour l'établissement des comptes individuels et, le cas échéant, consolidés ;
« ― porter une appréciation sur la qualité du contrôle interne, notamment la cohérence des systèmes de mesure, de surveillance et de maîtrise des risques, et proposer, en tant que de besoin, des actions complémentaires à ce titre.
« Ce comité peut être le comité chargé en application du code de commerce du suivi du processus d'élaboration de l'information financière et du suivi du contrôle légal des comptes annuels et comptes consolidés ou tout autre organe remplissant des fonctions équivalentes.
« Les membres de l'organe exécutif ne peuvent pas être membres du comité d'audit.
« A défaut de comité d'audit, ses missions sont remplies par l'organe délibérant. »

Le règlement n° 97-02 susvisé est ainsi modifié :

1. Est inséré un article 17 ter ainsi rédigé :
   « Art. 17 ter. - Les systèmes d'analyse et de mesure des risques prévus à l'article 17 doivent prévoir les critères et seuils permettant d'identifier comme significatifs les incidents révélés par les procédures de contrôle interne au sens de l'article L. 511-41 du code monétaire et financier. Ces critères doivent être adaptés à l'activité de l'établissement et couvrir les risques de perte, y compris lorsque celle-ci ne s'est pas matérialisée.
   « Est réputée à cet effet significative toute fraude entraînant une perte ou un gain d'un montant brut dépassant 0,5 % des fonds propres de base. Ce montant ne peut être inférieur à dix mille euros. »
2. Le titre VI est renommé : « Rôle des organes exécutif et délibérant de l'entreprise assujettie et de la Commission bancaire ».
   a) L'article 38 est ainsi rédigé :
   « Art. 38. - La responsabilité de s'assurer que l'entreprise assujettie se conforme à ses obligations au titre du présent règlement incombe à l'organe exécutif et à l'organe délibérant.
   « En particulier, l'organe exécutif et l'organe délibérant disposent des informations pertinentes sur l'évolution des risques encourus par l'entreprise assujettie. Ils sont tenus d'évaluer et de contrôler périodiquement l'efficacité des politiques, des dispositifs et des procédures mis en place pour se conformer au présent règlement et prendre les mesures appropriées pour remédier aux éventuelles défaillances. »
   b) Il est inséré après l'article 38 trois articles 38-1, 38-2 et 38-3 ainsi rédigés :
   « Art 38-1. ― L'organe délibérant arrête, le cas échéant sur avis de l'organe central de l'entreprise assujettie, les critères et seuils de significativité mentionnés à l'article 17 ter du présent règlement permettant d'identifier les incidents devant être portés à sa connaissance.
   « Les incidents significatifs au regard des critères et seuils mentionnés à l'article 17 ter doivent être portés sans délai à la connaissance de l'organe exécutif et de l'organe délibérant ainsi que, le cas échéant, de l'organe central de l'entreprise assujettie.
   « Art. 38-2. - Les établissements assujettis font parvenir à la Commission bancaire les critères et seuils mentionnés à l'article 17 ter et arrêtés par l'organe délibérant.
   « La Commission bancaire vérifie la pertinence des critères et seuils retenus au regard de la situation de l'établissement et l'application qui en est faite. Lorsque la situation de l'établissement le justifie, elle peut, en application de l'article L. 613-16, demander à un établissement de revoir ces critères et seuils ainsi que les modalités de leur mise en œuvre.
   « L'organe exécutif est chargé de transmettre sans délai à la Commission bancaire les incidents significatifs au regard des critères et seuils mentionnés à l'article 17 ter et arrêtés par l'organe délibérant.
   « Art. 38-3. - Pour les entreprises assujetties qui font partie d'un groupe financier, d'un groupe mixte ou d'un conglomérat financier, les seuils et critères de significativité ainsi que les obligations prévus aux articles 38-1 et 38-2 sont définis et mis en œuvre par les organes délibérant et exécutif compétents au niveau du ou des périmètres sur lesquels la Commission bancaire exerce le contrôle des exigences de fonds propres prévues par l'arrêté du 20 février 2007 ou la surveillance complémentaire dans les conditions prévues par le règlement n° 2000-03. »
   Les mêmes entreprises appliquent toutefois l'article 38-1 sur une base individuelle.
   c) L'article 39 est ainsi rédigé :
   « Art. 39. - Au moins deux fois par an, l'organe délibérant procède à l'examen de l'activité et des résultats du contrôle interne, notamment du contrôle de la conformité sur la base des informations qui lui sont transmises à cet effet par l'organe exécutif et par les responsables mentionnés aux articles 7 et 11 et des incidents significatifs révélés par les procédures de contrôle interne en application de l'article 38-1.
   « L'organe exécutif informe régulièrement, au moins une fois par an, l'organe délibérant et, le cas échéant, le comité d'audit :
   « a) Des éléments essentiels et des enseignements principaux qui peuvent être dégagés des mesures de risques auxquels l'entreprise assujettie et, le cas échéant, le groupe sont exposés, notamment les répartitions prévues à l'article 18 ainsi que l'analyse des opérations de crédit prévue à l'article 20 et la surveillance du risque de non-conformité ;
   « b) Des mesures prises pour assurer la continuité de l'activité et l'appréciation portée sur l'efficacité des dispositifs en place ;
   « c) Des mesures prises pour assurer le contrôle des activités externalisées et des risques éventuels qui en résultent pour l'entreprise assujettie ; "les prestations de services ou autres tâches opérationnelles essentielles ou importantes” (arrêté du 2 juillet 2007) relevant des trois premiers tirets de l'article 4 r doivent être distinguées dans ces opérations.
   « Lorsque l'organe délibérant n'est pas associé à la fixation des limites, l'organe exécutif informe celui-ci et, le cas échéant, le comité d'audit des décisions prises en la matière, et il l'informe régulièrement, au moins deux fois par an, des conditions dans lesquelles les limites fixées sont respectées.
   « Lorsqu'il existe un comité d'audit distinct de l'organe délibérant, l'information et l'examen prévus par le présent article peut n'avoir lieu qu'une fois par an. »
   d) Les deux derniers alinéas de l'article 44 sont abrogés.

L'article 46 du règlement n° 97-02 susvisé est abrogé.
Les articles 17 ter, 38-1, 38-2 et 38-3 nouveaux du règlement n° 97-02 entrent en vigueur trois mois après la publication au Journal officiel du présent arrêté.
Le g de l'article 5 du règlement n° 97-02 entre en vigueur six mois après la publication au Journal officiel du présent arrêté.

Le présent arrêté sera publié au Journal officiel de la République française.