La cartographie des risques de non-conformité commence par l'identification de tous les processus et activités de l'établissement. Cette étape est cruciale car elle permet de cibler les zones sensibles où le risque de manquement est le plus élevé. Le Règlement Général AMF précise que cette cartographie doit être réalisée périodiquement pour adapter les objectifs et les moyens de la fonction de conformité.

Les contrôles permanents sont réservés aux processus critiques et doivent être réalisés en continu. Les contrôles réguliers concernent les activités courantes et sont effectués à intervalles déterminés. Enfin, les contrôles ponctuels sont mis en place en réponse à des événements particuliers. Cette distinction permet d'adapter la fréquence des contrôles à la nature des activités et aux risques associés.

Le rapport annuel de conformité doit inclure un résumé des activités de contrôle et leurs résultats, les manquements identifiés et les risques importants, ainsi que les mesures prises pour remédier aux défaillances. Les indicateurs quantitatifs, quant à eux, comprennent des mesures comme le nombre d'anomalies détectées et le taux d'exécution du plan de contrôle annuel. Cette distinction est essentielle pour structurer le rapport et fournir une évaluation complète.

Les orientations ESMA recommandent plusieurs outils de surveillance, notamment les indicateurs de risque agrégés, qui fournissent des mesures quantitatives du risque de non-conformité, et les rapports d'exception, qui signalent les écarts substantiels entre les attentes et la situation constatée. Ces outils sont essentiels pour détecter des tendances et identifier des situations problématiques.

Le registre des anomalies recense les situations problématiques nécessitant un traitement. Contrairement aux indicateurs de risque agrégés ou aux rapports d'exception qui fournissent des mesures ou signalent des écarts, le registre se concentre sur la documentation détaillée des problèmes identifiés pour faciliter leur résolution. Cela permet une traçabilité et un suivi efficaces des anomalies.

Le troisième niveau de contrôle consiste en un audit interne périodique qui évalue l'efficacité globale du dispositif. Contrairement aux deux premiers niveaux qui sont plus opérationnels et indépendants, ce niveau offre une vue d'ensemble cyclique du système de contrôle. Il est crucial pour identifier les failles globales et proposer des améliorations.

Le rapport annuel de conformité doit inclure à la fois des indicateurs quantitatifs (comme le nombre d'anomalies détectées) et qualitatifs (comme un résumé des activités de contrôle). L'article 321-36 du Règlement Général AMF et les orientations ESMA précisent que ce rapport doit présenter une vue complète, incluant également les mesures correctives et les évolutions réglementaires. Une approche uniquement quantitative ne suffirait pas à évaluer pleinement l'efficacité du dispositif.

Le contrôle permanent au premier niveau est exercé par les collaborateurs eux-mêmes dans l'exécution de leurs tâches. Ce premier niveau est distinct des contrôles exercés par la fonction conformité, qui interviennent au deuxième niveau. Cette distinction est importante car elle permet de séparer les contrôles opérationnels des contrôles indépendants.

Les contrôles permanents sont appliqués aux processus critiques et doivent être réalisés en continu, sans interruption. Cette fréquence est adaptée à la nature critique des processus concernés, comme le stipule le programme de contrôle. Les autres types de contrôles, comme les contrôles réguliers et ponctuels, ont des fréquences différentes selon les besoins spécifiques.