A la fin du titre II du règlement n° 97-02 susvisé, il est inséré un chapitre IV ainsi rédigé :

« Chapitre IV

« La surveillance des risques par la filière "risques”
« Article 11-8

« Les entreprises assujetties désignent un responsable en charge de la filière "risques”, dont elles communiquent l'identité à la Commission bancaire. Cette filière inclut les agents et unités en charge de la mesure, de la surveillance et de la maîtrise des risques.
« Lorsqu'il n'est pas membre de l'organe exécutif, le responsable de la filière "risques” est directement rattaché à cet organe et ne doit effectuer aucune opération commerciale, financière ou comptable.
« Le responsable de la filière "risques” rend compte de l'exercice de ses missions à l'organe exécutif et l'alerte de toute situation susceptible d'avoir des répercussions significatives sur la maîtrise des risques. Lorsque ce dernier ou l'organe délibérant l'estiment nécessaire, il rend également directement compte à l'organe délibérant ou, le cas échéant, au comité d'audit.
« Lorsque la taille d'une entreprise assujettie ou les circonstances le justifient, le responsable du contrôle permanent assure la coordination de tous les dispositifs qui participent à la filière "risques”.
« Lorsqu'une entreprise appartient à un groupe au sens de l'article 1er du règlement n° 2000-03 susvisé ou relève d'un organe central, la responsabilité de la filière "risques” peut être assurée au niveau d'une autre entreprise du même groupe ou affiliée au même organe central, après accord des organes délibérants des deux entreprises concernées.
« Lorsque l'entreprise est une entreprise d'investissement, les responsabilités prévues au premier alinéa du présent article peuvent être confiées aux personnes en charge des contrôles prévus par le règlement général de l'AMF.

« Article 11-9

« Le responsable de la filière "risques” s'assure de la mise en œuvre des systèmes de mesure et de surveillance des risques et des résultats visés au titre IV et des systèmes de surveillance et de maîtrise des risques visés au titre V. Il s'assure que le niveau des risques encourus par l'entreprise assujettie est compatible avec les orientations de l'activité fixées par l'organe délibérant et les limites mentionnées à l'article 33.

« Article 11-10

« Les entreprises assujetties dotent la filière "risques” de moyens suffisants en termes de personnel, de systèmes d'information et d'accès aux informations internes et externes nécessaires à l'exercice de ses fonctions. Elles s'assurent que le personnel de la filière "risques” dispose de suffisamment d'expérience, de qualification et d'un positionnement adéquat pour exercer ses missions au sein de l'entreprise. »

Dans le titre IV du règlement n° 97-02 susvisé, il est inséré après l'article 17 ter un article 17 quater et un article 17 quinquies ainsi rédigés :

« Article 17 quater

« Les entreprises assujetties mettent en place des systèmes et procédures permettant d'appréhender globalement l'ensemble des risques associés aux activités bancaires et non bancaires de l'établissement, notamment de crédit, de marché, de taux d'intérêt global, d'intermédiation, de règlement, de liquidité et opérationnels.
« Les systèmes et procédures doivent permettre aux établissements de disposer d'une cartographie des risques qui identifie et évalue les risques encourus au regard de facteurs internes (notamment la complexité de l'organisation, la nature des activités exercées, le professionnalisme des personnels et la qualité des systèmes) et externes (notamment les conditions économiques et les évolutions réglementaires). Cette cartographie :
« a) Prend en compte l'ensemble des risques encourus ;
« b) Est établie par entité et/ou ligne de métier, au niveau auquel est exercée, le cas échéant, la surveillance consolidée ou complémentaire ;
« c) Evalue l'adéquation des risques encourus par rapport aux orientations de l'activité ;
« d) Identifie les actions en vue de maîtriser les risques encourus, par :
« ― le renforcement des dispositifs de contrôle permanent ;
« ― la mise en œuvre des systèmes de surveillance et de maîtrise des risques définis au titre V ;
« ― la définition des plans de continuité de l'activité prévus à l'article 14-1.

« Article 17 quinquies

« L'ensemble des systèmes visés aux articles 17 à 17 quater doivent faire l'objet d'une actualisation et d'une évaluation régulières. »

1. Au deuxième alinéa de l'article 6, les mots : « Le contrôle permanent de la conformité, de la sécurité et de la validation des opérations réalisées et du respect des autres diligences liées à la surveillance des risques de toute nature associés aux opérations » sont remplacés par les mots : « Le contrôle permanent de la conformité, de la sécurité et de la validation des opérations réalisées et du respect des autres diligences liées aux missions de la filière "risques” ».
2. Au premier alinéa de l'article 7-1, les mots : « 1. L'organisation des entreprises assujetties adoptée en application du point a de l'article 6 doit être conçue de manière à assurer une stricte indépendance entre les unités chargées de l'engagement des opérations et les unités chargées de leur validation, notamment comptable, de leur règlement ainsi que du suivi des diligences liées à la surveillance des risques. » sont remplacés par les mots : « L'organisation des entreprises assujetties adoptée en application du point a de l'article 6 doit être conçue de manière à assurer une stricte indépendance entre, d'une part, les unités chargées de l'engagement des opérations et, d'autre part, les unités chargées de leur validation, notamment comptable, de leur règlement ainsi que du suivi des diligences liées aux missions de la filière "risques” ».
3. A la fin du premier alinéa de l'article 17, il est ajouté la phrase : « Ces systèmes permettent également d'appréhender de manière transversale et prospective l'analyse et la mesure des risques. »
4. Les alinéas 2 à 5 de l'article 32-1 sont remplacés par les alinéas suivants :
   « Les entreprises assujetties mettent en place des systèmes et procédures assurant une analyse à la fois en amont et prospective des risques encourus lorsqu'elles décident :
   ― de réaliser des opérations portant sur de nouveaux produits ;
   ― d'opérer des modifications significatives à un produit préexistant, pour cette entreprise ou pour le marché ;
   ― de réaliser des opérations de croissance interne et externe ;
   ― de réaliser des transactions exceptionnelles.
   Le dispositif de contrôle permanent doit permettre de s'assurer :
   a) Que l'analyse spécifique des risques a été conduite de manière rigoureuse et préalable ;
   b) Que les procédures de mesure, de limite et de contrôle des risques encourus sont adéquates ;
   c) Que, le cas échéant, les adaptations nécessaires aux procédures en place ont été engagées ;
   d) Qu'un suivi des risques, accompagné de moyens suffisants pour sa mise en œuvre, est mis en place.
5. L'article 37 est complété par une phrase ainsi rédigée :
   « Ces états doivent comporter des informations quantitatives et qualitatives, ces dernières permettant notamment d'expliciter la portée des mesures utilisées pour évaluer le niveau des risques encourus et fixer les limites. »
6. Au premier alinéa de l'article 39, les mots : « et les responsables mentionnés aux articles 7 et 11 » sont remplacés par les mots : « et les responsables mentionnés aux articles 7, 11 et 11-8 ».
   Au troisième alinéa de l'article 39, les mots : « des mesures de risques » sont remplacés par les mots : « de l'analyse et du suivi des risques associés à l'activité et aux résultats ».
   Il est ajouté un dernier alinéa :
   « Les documents examinés dans ce cadre par l'organe délibérant sont adressés au secrétariat général de la Commission bancaire ainsi que les extraits des procès-verbaux des réunions au cours desquelles ils ont été examinés. »
7. Au premier alinéa de l'article 43, les mots : « auxquels elles sont exposées. » sont remplacés par les mots : « qui permet d'appréhender globalement et de manière transversale l'ensemble des risques, en y intégrant les risques associés aux activités bancaires et non bancaires. »

Les dispositions du présent arrêté entrent en vigueur le premier jour du troisième mois suivant sa publication au Journal officiel.

Le présent arrêté sera publié au Journal officiel de la République française.