Rapport complémentaire d'audit

1/11

Communiqué n° 9/EDE Rapport complémentaire d'audit

Avant le 31 mai de l'exercice N, le rapport complémentaire d'audit relatif à l'exercice N-1 doit être transmis à l'AFA annuellement.

Le présent communiqué n'est pas applicable aux entités relevant du régime d'exemptions établi au paragraphe 2 de l'article 6 de la Loi 27/2018, du 25 octobre, portant modification de la Loi 8/2018, du 17 mai, sur les services de paiement et la monnaie électronique.

Le modèle à suivre est joint au présent communiqué.

Andorra la Vella, le 31 juillet 2019

2/11

Rapport complémentaire d'audit

Établissements de paiement

Objectifs

Les objectifs principaux du rapport complémentaire sont de décrire et d'analyser les aspects financiers et organisationnels de l'entité au moyen des contrôles réalisés par l'auditeur et, en outre, de donner des indications sur la gestion et la structure des risques. Par conséquent, il est nécessaire que le rapport soit exhaustif et transparent, qu'il fournisse des descriptions et des appréciations détaillées de chaque aspect essentiel, qu'il réalise une évaluation constructive pour chaque domaine et de chaque aspect et qu'il indique, en même temps, sa méthode de travail (recours à la technique d'échantillonnage, méthode de sélection de l'échantillon,...) et, le cas échéant, le détail des irrégularités et des déficiences identifiées, afin de faciliter à l'organe de surveillance la compréhension et l'appréciation des problèmes constatés. Pour mener à bien ces tâches, il bénéficiera de la collaboration de la Direction de l'entité mais, en tout état de cause, il incombe à l'auditeur de garantir le caractère adéquat de ces évaluations.

Un autre des objectifs poursuivis par ce rapport consiste à permettre à l'AFA de disposer d'autres mécanismes de contrôle pour confronter les conclusions obtenues dans le cadre de ses tâches de surveillance. L'auditeur externe doit lui communiquer de manière détaillée les points faibles et ceux susceptibles d'être améliorés, constatés au moyen de sa révision. Cette communication peut être réalisée dans le cadre du rapport complémentaire d'audit ou au moyen d'une lettre de recommandations adressée à la Direction de l'entité et jointe au rapport complémentaire en annexe.

Par ailleurs, aux fins de l'accomplissement de leurs fonctions, les auditeurs doivent tenir compte des dispositions suivantes :

a) Le contrôle des comptes annuels doit être effectué selon les critères établis par la réglementation comptable et par les communiqués techniques en vigueur.

b) Le contrôle doit s'étendre à tous les domaines d'activité de l'entité, tant au bilan qu'au hors bilan. Un type d'activité, une catégorie d'opérations ou une opération spécifique ne peut être exclu du champ du contrôle. Au contraire, le contrôle doit couvrir conjointement tous les risques ainsi que tous les aspects financiers, d'organisation et de contrôle interne de l'entité. Le contrôle doit permettre de fournir toutes les informations requises dans le rapport complémentaire d'audit défini dans la présente note.

Le rapport complémentaire d'audit doit suivre l'index figurant ci-après, et il y est ajouté, pour chaque paragraphe, les commentaires appropriés. À cet égard, les auditeurs doivent y faire figurer tous les travaux réalisés afin de se conformer aux dispositions des points suivants. Lorsqu'un paragraphe déterminé du schéma ne peut être appliqué à une entité en particulier, l'auditeur doit le mentionner explicitement.

3/11

Index

1. Respect des normes d'élaboration des états financiers

2. Faits significatifs

3. Consolidation 3.1. Périmètre de consolidation 3.2. Vérification (contrôle) du processus de consolidation

4. Organisation et administration 4.1. Organisation générale de l'entité 4.1.1. Description de l'actionnariat direct et indirect 4.1.2. Organigramme 4.1.3. Conseil d'Administration et Direction générale 4.1.4. Comités de l'entité 4.2. Organisation administrative et fonctions de l'entité

5. Contrôle interne 5.1. Processus quotidiens de contrôle interne 5.1.1. Contrôle de la provenance des fonds 5.1.2. Risques financiers de l'entité 5.1.3. Contrôle des actions menées par les entités auxquelles une partie des fonctions est déléguée 5.2. Activités à l'étranger

6. Systèmes informatiques et politique de sécurité

7. Fonction d'audit interne

8. Validation des informations transmises périodiquement à l'AFA 8.1. Informations relatives aux états financiers 8.2. Informations transmises en relation avec l'activité de l'entité et autres données requises par l'AFA

9. Publicité

10. Contrats et/ou pactes avec des personnes physiques ou morales pour l'apport de clientèle et/ou de patrimoine

11. Opérations ou transactions avec des parties liées ou d'autres entités

4/11

12. Suivi des problèmes soulevés dans des rapports précédents

13. Conclusion générale

5/11

Guide du rapport complémentaire d'audit

1. Respect des normes d'élaboration des états financiers

Ce paragraphe inclut la vérification (contrôle) du respect des normes d'élaboration des états financiers conformément aux dispositions établies par la réglementation comptable et par les communiqués techniques en vigueur. À cet égard, il est fait état de tout incident ayant affecté l'entité, qu'il ait été mentionné ou non dans les notes aux états financiers audités.

2. Faits significatifs

Ce point indique, le cas échéant, les faits significatifs survenus au cours de l'exercice sous revue. Sont commentés, par exemple, les décisions stratégiques du Conseil d'Administration et de la Direction générale, le début ou la fin de réorganisations importantes de l'entité, les faits significatifs liés aux organismes de placement collectif qu'elle gère, ainsi que les négociations avec d'autres entités ou groupes en matière de fusion, d'acquisition ou de collaboration. Si aucun fait significatif ne s'est produit au cours de l'exercice sous revue, ce fait doit être expressément mentionné.

3. Consolidation

3.1. Périmètre de consolidation

L'auditeur doit vérifier que toutes les parts sociales de l'entité dans d'autres entreprises faisant partie du périmètre de consolidation ont été consolidées dans les états financiers.

De même, il convient de fournir un détail des informations relatives à chacune des sociétés consolidées, indépendamment de leur pourcentage de participation, selon le tableau suivant :

Société consolidée Objet social Méthode de consolidation Pourcentage de participation Capital Réserves Résultat de l'exercice Acompte sur dividende Total capitaux propres(1) ... ... ...

(1) Par capitaux propres, on entend la somme du capital, des réserves, des résultats et des fonds pour risques généraux.

De la même manière, il convient d'établir un détail des entités dans lesquelles l'entité détient une participation qui n'ont pas été consolidées, avec explication des raisons pour lesquelles elles ne l'ont pas été.

Entité Objet social Pourcentage de participation Total de l'actif Résultats Fonds propres Raisons de non- consolidation ... ... ...

À défaut de disposer des données de clôture des participations en question, les dernières données disponibles doivent être fournies, avec l'indication de chacune de leurs dates de référence.

6/11

3.2. Vérification du processus de consolidation

Commenter l'adaptation aux modèles, aux critères d'évaluation et aux principes comptables contenus dans la réglementation comptable en vigueur, après avoir procédé aux ajustements appropriés (élimination des opérations internes, homogénéisation des critères comptables, etc.).

Préciser les sociétés consolidées dont la date de clôture diffère de celle de la société mère et pour lesquelles les ajustements nécessaires ont été réalisés afin d'aligner leurs clôtures respectives sur celle de la société mère.

Lorsque certaines sociétés comprises dans la consolidation ont confié le contrôle de leurs comptes annuels à un auditeur différent de celui qui est chargé des comptes annuels de l'entité mère, l'auditeur doit se prononcer sur la manière dont il s'est assuré de la validité des données incorporées dans les états financiers de l'entité mère. À cet égard, doivent être détaillés, dans la mesure du possible, l'étendue et les revues effectuées par les auditeurs des filiales, et doit être identifiée, dans tous les cas, l'entité d'audit concernée.

De même, il convient de mentionner, dans tous les cas, s'il existe une lettre de recommandations spécifique et, dans l'affirmative, d'en détailler les points les plus pertinents.

4. Organisation et administration

4.1. Organisation générale de l'entité

4.1.1. Description de l'actionnariat direct et indirect

Une description de l'actionnariat direct et indirect de l'entité est fournie, laquelle doit être présentée sous forme d'organigramme et doit informer sur les bénéficiaires économiques ultimes des actions des entités de droit andorran appartenant à des personnes morales.

4.1.2. Organigramme

L'auditeur doit vérifier et valider la réponse à la communication n° 4/EP à la clôture de l'exercice. En outre, il convient de confirmer la validité de l'organigramme fonctionnel transmis en vertu de ladite communication et d'informer, le cas échéant, des changements significatifs survenus.

4.1.3. Conseil d'Administration et Direction générale

À ce point, doit être fournie une liste exhaustive des membres du Conseil d'Administration et de la Direction générale, ainsi que la fonction qu'ils occupent et la date de leurs nominations respectives. Il convient d'indiquer également, expressément, tous les changements intervenus au cours de l'exercice au sein desdits organes (entrées et sorties). En outre, il convient de décrire les compétences attribuées à ces organes, avec une indication précise de leurs limitations.

4.1.4. Comités de l'entité

L'auditeur indique, le cas échéant, l'existence de comités au sein de l'entité, leur composition et leurs compétences. De même, il convient d'expliciter le déroulement de leurs travaux (périodicité des comités, procès-verbaux dressés, information du reste de l'organisation sur les décisions prises, etc.), ainsi que le suivi des décisions prises au sein de chaque comité et de leur mise en œuvre.

4.2. Organisation administrative et fonctions de l'entité

Il convient de décrire l'organisation administrative de l'entité, le volume des activités exercées ainsi que les ressources humaines dont elle dispose. Mentionner les améliorations et/ou les changements apportés par l'entité au cours de l'exercice. En relation avec ces points, l'auditeur doit évaluer

7/11

l'adéquation des systèmes et des ressources décrits précédemment afin que l'entité puisse assumer correctement ses responsabilités.

Entre autres, l'auditeur doit fournir une description des systèmes internes d'information, tant ascendants que descendants et, en particulier, des systèmes d'information de la Direction vers le Conseil d'Administration. Ensuite, il convient de fournir une évaluation des systèmes de communication de l'entité.

Enfin, il convient de mentionner si l'entité dispose d'un ou de plusieurs manuels de procédures décrivant les différentes fonctions qu'elle exerce.

5. Contrôle interne

5.1. Processus quotidiens de contrôle interne

Le présent paragraphe fournit une description du fonctionnement des différentes procédures de contrôle interne mises en place par l'entité qui ne sont pas traitées dans d'autres paragraphes du présent rapport complémentaire et en souligne les changements et les améliorations mis en place au cours de la période faisant l'objet de l'audit.

Ensuite, au moyen d'un échantillonnage dont les caractéristiques sont fournies de manière détaillée, l'auditeur vérifie la mise en place correcte des différents processus ainsi que leur bon fonctionnement. Une importance particulière doit être accordée à l'éventuelle mise en place, au fonctionnement et au respect des procédures suivantes :

5.1.1. Contrôle de la provenance des fonds

Il convient de mentionner qui effectue ce contrôle, de fournir une ventilation des mesures prises pour mener à bien le contrôle et de préciser si les opérations sont filtrées afin de détecter des transactions anormales.

De même, sont également requises des informations sur les validations d'acceptation des clients effectuées, tant pour les personnes physiques que pour les personnes morales, ainsi que l'indication, dans ce dernier cas, de la disponibilité d'informations concernant le bénéficiaire ultime des actions.

S'il est souhaité de faire référence à d'autres rapports réalisés dans ce même objectif, il peut en être fait mention à condition que soient fournis le nom de l'auditeur qui les a réalisés, l'entreprise qu'il représentait, la date d'émission du rapport ainsi que les déficiences et/ou recommandations mises en évidence en relation avec ce point.

5.1.2. Risques financiers de l'entité

Il convient d'indiquer comment sont effectués le contrôle et la gestion des risques de l'entité en général et d'inclure une analyse détaillée du degré d'exposition de l'entité, au moins aux risques suivants, lesquels doivent être complétés, le cas échéant, en fonction de l'activité et de la situation particulière de l'entité : − risques de crédit / risque de contrepartie − risques de marché − risque de liquidité − risque opérationnel − risque juridique (avec un accent particulier sur la confidentialité des données des clients et la protection des actifs des clients).

Il doit également être fait mention, entre autres, du système de conservation de la documentation relative aux opérations administratives en général ainsi que du système de protection des données des clients, tant personnelles que celles relatives à leurs opérations.

Enfin, l'auditeur doit apprécier si l'entité dispose des ressources financières et de l'infrastructure adéquates pour contrôler les risques auxquels elle est soumise.

8/11

5.1.3. Contrôle des actions menées par les entités auxquelles est déléguée une partie des fonctions Dans un premier temps, une brève description des contrôles internes mis en œuvre par l'entité afin de vérifier que les fonctions déléguées à d'autres entités sont exécutées correctement est fournie. Ensuite, l'auditeur doit évaluer l'adéquation des processus mis en place par l'entité en indiquant les améliorations qu'il jugerait nécessaires ou recommandables. À cet égard, sont mentionnées les éventuelles déficiences détectées par l'entité au cours de l'exercice et les mesures prises pour les corriger.

5.2. Activités à l'étranger

Si, dans le cadre de l'audit, l'auditeur a appris que certains superviseurs étrangers se sont adressés aux succursales et/ou filiales de l'entité à l'étranger ou à la maison mère elle-même pour émettre un quelconque type de demande, ce fait doit être détaillé, ainsi que l'état actuel du dossier associé aux superviseurs étrangers.

En tout état de cause, il convient de mentionner toute supervision d'autres autorités étrangères, les éventuelles inspections sur place réalisées à l'étranger et les conclusions émises par lesdites autorités. Il convient également de faire mention du suivi desdites conclusions par l'entité et par l'autorité de supervision ainsi que des mesures prises.

6. Systèmes informatiques et politique de sécurité

En ce qui concerne les systèmes informatiques, une brève description des systèmes installés est réalisée. Tout changement significatif effectué à ce niveau au cours de l'exercice doit être mentionné, ainsi que les problèmes importants qui ont pu se produire. Il est également fait mention des éventuels plans de continuité prévus par l'entité en cas de panne informatique. Ensuite, l'auditeur évalue l'adéquation des systèmes installés. Toute carence ou recommandation détectée doit être incluse dans le rapport complémentaire ou dans une annexe jointe.

Une description de la politique de sécurité de l'entité sera également réalisée, comprenant au minimum :

a) une évaluation détaillée des risques des services offerts, parmi lesquels les risques de fraude, et des mesures de contrôle de sécurité et d'atténuation adoptées pour protéger adéquatement les utilisateurs contre les risques identifiés ;

b) une description des systèmes informatiques, qui devraient inclure, entre autres, les systèmes informatiques qui soutiennent les activités fournies, tels que le site web du demandeur, le moteur de paiement, etc. ;

c) une description du type de connexions autorisées depuis l'extérieur, notamment avec des partenaires, des prestataires de services, des entités du groupe et des employés travaillant à distance, y compris les fondements de ces connexions ; ainsi que les mesures et les mécanismes de sécurité établis, en précisant le contrôle que le demandeur exercera sur ces accès ;

d) une analyse de la sécurité des processus de paiement, qui devraient inclure :

i. la procédure d'authentification du client utilisée tant pour l'accès consultatif que pour les transactions, et pour tous les instruments de paiement sous-jacents ;

ii. une explication de la manière dont sont garanties la livraison sécurisée à l'utilisateur légitime du service de paiement et l'intégrité des facteurs d'authentification ;

iii. une description des systèmes et procédures que le demandeur a mis en place pour l'analyse des transactions et l'identification des transactions suspectes ou inhabituelles ;

9/11

e) une évaluation détaillée du risque en relation avec ses services de paiement, y compris la fraude, avec un lien vers les mesures de contrôle et d'atténuation expliquées dans le dossier de demande, qui démontrent que les risques sont traités ;

f) une liste des principales procédures écrites en relation avec les systèmes informatiques du demandeur.

7. Fonction d'audit interne

Indiquer si l'entité dispose d'un organe d'audit interne ou, le cas échéant, d'une unité à laquelle cette fonction a été déléguée, dans le but d'assurer l'élaboration d'un plan d'audit interne visant à examiner et évaluer l'adéquation et l'efficacité des systèmes, des mécanismes de contrôle interne et des dispositions de l'entité, formuler des recommandations et en vérifier le respect, conformément à l'article 11 de la Loi 8/2013. L'entité d'audit doit décrire les caractéristiques de cet organe et/ou de cette unité (effectif, règles de fonctionnement, etc.).

À cet égard, il convient d'informer brièvement du contenu du règlement intérieur qui régit les actions menées par cet organe et/ou cette unité, sur la base duquel son indépendance vis-à-vis de la Direction générale et ses procédures d'information à ses supérieurs doivent être clairement définies.

Dans le cas où l'entité a délégué la fonction d'audit interne à une entité non liée, l'auditeur doit décrire les caractéristiques du contrat de délégation.

Il convient également de valider que le plan d'audit interne en vigueur est approuvé (signé) par le Conseil d'administration de l'entité (détailler le calendrier prévu pour l'exercice faisant l'objet de l'audit et son état d'exécution).

Enfin, il convient de faire une mention particulière des tâches accomplies par cet organe et/ou cette unité en relation avec les succursales et/ou filiales de l'entité à l'étranger.

8. Validation des informations transmises périodiquement à l'AFA

Préalablement à la vérification des transmissions périodiques relatives au quatrième trimestre, une brève description des mécanismes utilisés en interne pour l'élaboration des informations est effectuée et il est précisé si elles sont élaborées intégralement de façon manuelle ou si une partie des informations est obtenue de façon automatique. De même, il convient d'indiquer si l'entité tient un archivage centralisé à cet effet. Il conviendra également d'inclure la validation de la transmission annuelle des communications dont le reporting ne coïncide pas avec le quatrième trimestre de l'année.

Il convient de souligner que le contenu de ce paragraphe peut varier d'un exercice à l'autre étant donné qu'il doit inclure la validation des informations périodiques transmises à l'AFA relatives au quatrième trimestre telles qu'elles seront demandées à l'avenir et doit cesser de traiter les communications qui cesseront d'être exigées. Par conséquent, toute communication périodique émise au cours de chaque exercice doit faire l'objet d'une validation par les auditeurs dans le cadre du rapport complémentaire, en adaptant, dans chaque cas, son traitement en fonction des informations requises dans la communication.

Il convient également d'informer sur les données qui n'ont pas pu être fournies par l'entité et d'expliquer les raisons pour lesquelles elles n'ont pas été envoyées.

8.1. Informations relatives aux états financiers trimestriels

En premier lieu, une brève description du processus d'établissement des états financiers transmis à l'AFA est fournie. Ensuite, l'auditeur vérifie que celui-ci a été effectué sur la base des informations des registres comptables internes de l'entité préparés conformément aux principes comptables établis par la réglementation comptable en vigueur.

Il expose en détail tous les ajustements et toutes les reclassifications, même s'ils n'ont pas d'importance significative, effectués lors de l'audit des comptes annuels, en rapport avec les états financiers du quatrième trimestre transmis à l'AFA.

10/11

Ce paragraphe comprend également les informations suivantes : − les critères de matérialité ou les seuils de signification communiqués initialement à l'AFA, et leur justification, − les modifications ou les variations de ces critères au cours des phases d'exécution et d'élaboration du rapport et les motifs ayant entraîné ces changements, y compris les exigences supplémentaires de l'AFA, le cas échéant, − les ajustements et les reclassements comptabilisés, − les ajustements et les reclassements non comptabilisés, y compris ceux que l'auditeur a relevés aux fins du rapprochement mais qui, de l'avis de l'auditeur, ne sont significatifs ni au regard du principe de signification ni au regard des critères de matérialité établis.

8.2. Informations transmises en rapport avec l'activité de l'entité et autres données requises par l'AFA

Il doit être vérifié et validé que les informations du quatrième trimestre de l'année fournies à l'AFA à titre périodique donnent une image fidèle de l'activité exercée par l'entité et qu'elles concordent avec les soldes reflétés par les registres de l'entité à la date de référence, les principes et critères établis par la réglementation en vigueur ayant été appliqués.

9. Publicité

Dans ce paragraphe, l'auditeur doit valider que toutes les publicités émises par l'entité ou par toute entité du groupe (par des supports physiques ou virtuels) respectent l'ensemble du cadre normatif en cette matière.

10. Contrats et/ou accords avec des personnes physiques ou morales pour l'apport de clientèle et/ou de patrimoine

Ce paragraphe fournit des informations détaillées sur l'existence, ou non, de contrats et/ou d'accords avec des personnes physiques ou morales, ayant pour objet d'apporter de nouveaux clients et/ou patrimoines aux activités de l'entité (nombre, conditions de rémunération, ventilation selon la nature juridique des personnes...). S'il existe des contrats écrits fixant la relation entre ces personnes et l'entité, une copie doit en être jointe au rapport complémentaire, sauf dans les cas où ils ont été communiqués précédemment et où aucun changement n'est intervenu. En outre, il est fait état du champ d'action géographique de ces personnes, avec l'autorisation ou la certification correspondante pour pouvoir agir sur lesdits territoires.

11. Opérations ou transactions avec des parties liées ou d'autres entités

Détailler toutes les opérations ou transactions avec des entités et des personnes liées selon les définitions établies par l'AFA.

En particulier, doivent être décrits et commentés : − la politique et les objectifs poursuivis par l'entité en ce qui concerne ses entreprises liées, − le type d'opérations effectuées avec des entités et des personnes liées (en particulier, il convient de mentionner les procédures internes prévues en ce qui concerne les opérations pour compte propre du personnel), − les garanties reçues de la part des parties liées (circonstances, conditions...), − la part des intérêts payés/reçus à/de parties liées (en pourcentages du total), − la part des commissions pour services fournis/reçus à/de parties liées (en pourcentages du total).

Il convient également de faire état, dans ce paragraphe, des contrats les plus significatifs existant avec d'autres entreprises liées, ou non, au groupe (conseil, mise à disposition de moyens...) et de ventiler les conditions convenues.

11/11

12. Suivi des problèmes soulevés dans les rapports précédents

Sur ce point, l'auditeur doit indiquer le suivi des irrégularités et des faiblesses constatées dans les rapports complémentaires antérieurs ou dans les lettres de recommandations adressées à la Direction.

13. Conclusion générale

Elle consiste à résumer les principales remarques et conclusions figurant dans le rapport. L'auditeur doit prendre position sur tous les points essentiels de son contrôle de manière à apporter une vue d'ensemble de la situation de l'entité contrôlée.

Si l'auditeur adresse une lettre de recommandations à la Direction, la conclusion générale doit faire référence à ce document, lequel doit figurer en annexe du rapport complémentaire.