Une EAF doit disposer d’une fonction de conformité permanente, efficace et indépendante, ainsi que d’une gestion des risques et, lorsque c’est proportionné, d’un audit interne. Elle peut les déléguer à un tiers, mais reste responsable : le règlement délégué (UE) 2017/565 et la circulaire 1/2014 de la CNMV en fixent les modalités. Nous l’organisons avec vous.
Votre EAF peut-elle déléguer son compliance ? Diagnostic gratuit
Dites-nous quels services fournit votre EAF, sa taille et quelles fonctions vous souhaitez déléguer.
L’EAF peut s’appuyer sur un tiers pour ses fonctions de contrôle, mais la responsabilité reste chez elle. Nous vous aidons à décider quoi déléguer, à qui et comment le superviser.
Nous analysons vos services et votre taille pour déterminer si une unité unique de conformité et de risques suffit et si un audit interne est nécessaire, selon la norme quatrième de la circulaire 1/2014.
Nous vérifions la capacité, les moyens et les conflits d’intérêts du prestataire et, si vous lui déléguez l’audit interne, qu’il n’est pas celui qui audite vos comptes.
Nous rédigeons l’accord écrit : périmètre, rapports, accès de la CNMV et de vos auditeurs, sous-traitance uniquement avec votre accord, continuité et sortie.
Nous reflétons la délégation dans votre programme d’activités et dans vos procédures, et évaluons avec vous si le changement doit être communiqué à la CNMV.
Nous désignons la personne qui supervise la fonction déléguée, fixons des indicateurs et un calendrier de rapports et préparons le suivi par l’organe d’administration.
Nous mettons en ordre le plan annuel de conformité, les rapports à l’organe d’administration, au moins annuels, et la documentation que la CNMV demandera lors d’une inspection.
Dans une petite EAF, déléguer les fonctions de contrôle est souvent le moyen de respecter l’indépendance sans augmenter les effectifs. Voici les moments typiques.
Dans le dossier, la CNMV demande comment vous couvrirez les fonctions de contrôle et si vous les déléguez : mieux vaut arriver avec le prestataire choisi et le contrat prêt.
Celui qui fournit le conseil ne devrait pas superviser son propre travail ; si vous êtes peu nombreux, déléguer la fonction aide à garantir l’indépendance.
Un changement dans la fonction de contrôle affecte votre organisation : il faut assurer la continuité, le transfert de la documentation et l’information de la CNMV.
Vous devrez démontrer que vous supervisez le prestataire, que ses rapports parviennent à l’organe d’administration et que vous donnez suite à ses recommandations.
Données du règlement délégué (UE) 2017/565, du décret royal 813/2023 et de la circulaire 1/2014 de la CNMV.
La fonction de conformité doit être permanente, efficace et indépendante.
La conformité et la gestion des risques peuvent relever d’une seule unité indépendante, si les tâches de chaque fonction sont assurées.
L’unité d’audit interne n’est pas obligatoire si vous ne faites que conseiller ou transmettre des ordres sans pouvoir de disposition et si c’est proportionné.
L’audit interne ne peut être délégué ni au commissaire aux comptes ni, sauf dans le cas précédent, à celui qui assure la conformité ou les risques.
L’EAF reste pleinement responsable de toutes ses obligations, même si elle externalise des fonctions.
L’externalisation ne peut pas nuire sensiblement au contrôle interne ni à la capacité de supervision de la CNMV.
Nous examinons votre contrat, vos rapports et la façon dont vous supervisez les fonctions déléguées, puis nous vous remettons la liste des changements par ordre d’urgence.
Oui. Les art. 30 et 31 du règlement délégué (UE) 2017/565, que l’art. 83 du décret royal 813/2023 applique aux ESI et aux EAFN, permettent d’externaliser des fonctions critiques ou importantes, comme la conformité, sous conditions. La circulaire 1/2014 de la CNMV soumet la délégation des fonctions de contrôle aux exigences d’externalisation et impose de superviser efficacement les fonctions déléguées (norme huitième).
La réglementation ne prévoit pas d’autorisation spécifique de la CNMV pour externaliser la conformité d’une ESI. Mais la délégation fait partie de votre organisation : dans le dossier d’agrément, la CNMV demande comment vous couvrez les fonctions de contrôle, et l’externalisation ne peut pas réduire sa capacité de supervision (art. 85 du décret royal 813/2023). Si vous la modifiez ensuite, il convient d’évaluer au préalable si vous devez en informer la CNMV.
Oui. En règle générale, la norme quatrième de la circulaire 1/2014 autorise une unité unique et indépendante qui exerce les fonctions de conformité et de gestion des risques, à condition que les responsabilités et les tâches de chacune soient assurées. Si la nature, l’échelle et la complexité de votre activité le justifient, vous aurez besoin d’unités distinctes.
Pas toujours. La norme quatrième de la circulaire 1/2014 n’exige pas cette unité lorsque les seuls services fournis sont le conseil et la réception et transmission d’ordres, sans pouvoir de disposition sur les fonds ou les instruments des clients, et si c’est proportionné. Dans ce cas, elle peut être assumée par l’unité de conformité et de risques ou déléguée à l’entité qui assure ces fonctions.
À l’entité qui audite vos comptes annuels ni, sauf dans le cas précédent, à celle qui assure votre conformité ou votre gestion des risques, ni à aucune autre ayant des intérêts en conflit (norme neuvième de la circulaire 1/2014). Si vous appartenez à un groupe, l’audit interne du groupe peut l’assumer, sous conditions pour éviter les conflits.
Votre EAF. En externalisant des fonctions critiques ou importantes, l’entreprise reste pleinement responsable de toutes ses obligations (art. 31 du règlement délégué). C’est pourquoi vous avez besoin de vérifications préalables, d’un contrat écrit qui vous permette de superviser et de mettre fin à l’accord en cas de besoin, et d’un accès de la CNMV à l’information.
Un accord écrit fixant les droits et obligations des parties, le périmètre du service et ses rapports, les moyens du prestataire, l’accès de vos auditeurs et de la CNMV aux données et aux locaux, la confidentialité, la continuité du service, la sous-traitance uniquement avec votre accord et la possibilité d’y mettre fin sans nuire à la continuité ni à la qualité du service rendu à vos clients.
Les orientations de l’ESMA sur la fonction de conformité de MiFID II (ESMA35-36-1952), que la CNMV applique, rappellent que l’on délègue des tâches et non la responsabilité, exigent des vérifications préalables sur le prestataire, que la fonction reste permanente et que la direction générale la supervise, et admettent la proportionnalité dans les petites entités.
Bien externaliser, c’est choisir le bon prestataire, signer un contrat qui vous laisse le contrôle et le superviser réellement.
Vos services et votre taille déterminent si une unité unique suffit et si vous avez besoin d’un audit interne.
Périmètre, rapports, accès de la CNMV, sous-traitance et sortie, par écrit.
Rapports à l’organe d’administration, suivi des recommandations et revue périodique du prestataire.
Source : règlement délégué (UE) 2017/565 (art. 22, 30 et 31), décret royal 813/2023 (art. 83 et 85), circulaire 1/2014 de la CNMV (normes quatrième, huitième et neuvième) et orientations ESMA35-36-1952.
Ces termes figurent dans le règlement délégué (UE) 2017/565, dans la circulaire 1/2014 et dans tout contrôle de la CNMV.
Entreprise d’investissement agréée par la CNMV pour fournir du conseil en investissement.
Fonction permanente qui vérifie que l’entreprise respecte ses obligations et conseille l’organe d’administration.
Fonction qui identifie, mesure et communique les risques de l’entreprise.
Fonction qui évalue l’efficacité des systèmes et des contrôles internes.
Accord par lequel un tiers exécute un processus, un service ou une activité que l’entreprise réaliserait elle-même.
Fonction dont la défaillance affecterait le respect des obligations, les résultats ou la continuité des services.
Les exigences d’organisation s’adaptent à la nature, à l’échelle et à la complexité de l’activité.
Contrôle de la capacité, des moyens et de la fiabilité du prestataire avant de contracter.
Suivi continu, par l’entreprise elle-même, de ce que fait le prestataire.
Fonction interne : de l’EAF.
Fonction externalisée : reste celle de l’EAF (art. 31 du règlement délégué).
Fonction interne : difficile à démontrer si l’équipe est petite et fournit du conseil.
Fonction externalisée : plus facile à démontrer, si le prestataire n’a pas de conflits.
Fonction interne : structure fixe et formation propre.
Fonction externalisée : moyens du prestataire et supervision interne.
Fonction interne : procédures et registres internes.
Fonction externalisée : en plus, contrat écrit et rapports du prestataire.
Fonction interne : direct sur l’EAF.
Fonction externalisée : la CNMV doit aussi pouvoir accéder aux informations du prestataire.
Ce sont des défaillances que la CNMV relève dès qu’elle examine une fonction déléguée.
Dites-nous quels services fournit votre EAF, comment vous couvrez aujourd’hui les fonctions de contrôle et ce que vous souhaitez déléguer, et nous vous indiquons comment le faire en toute sécurité.
Mis à jour le 15 octobre 2026
Les EAF, en tant qu’entreprises d’investissement, doivent disposer de fonctions de conformité, de gestion des risques et, lorsque c’est proportionné, d’audit interne. Le décret royal 813/2023 renvoie aux art. 21 à 43 du règlement délégué (UE) 2017/565, qui régissent ces fonctions et leur externalisation.
L’art. 22 du règlement délégué exige une fonction permanente, efficace et indépendante, avec un responsable désigné et sans participation aux services qu’elle contrôle, sauf si la proportionnalité justifie une autre solution. L’art. 83 du décret royal 813/2023 l’applique aux ESI et aux EAFN. Pour une vue d’ensemble, consultez les obligations d’une EAF.
La norme quatrième autorise une unité unique de conformité et de risques et dispense de l’unité d’audit interne les entités qui ne font que conseiller ou recevoir et transmettre des ordres sans pouvoir de disposition, lorsque c’est proportionné. La norme huitième soumet la délégation des fonctions de contrôle aux exigences d’externalisation et impose de les superviser ; la neuvième limite les entités auxquelles l’audit interne peut être délégué.
L’art. 31 du règlement délégué exige que l’entreprise conserve l’entière responsabilité, effectue des vérifications préalables sur le prestataire, puisse mettre fin à l’accord en cas de besoin sans nuire à ses clients, garantisse l’accès de la CNMV et formalise le tout par écrit. L’art. 85 du décret royal 813/2023 ajoute qu’elle ne peut pas nuire sensiblement au contrôle interne. Pour les prestataires technologiques, consultez aussi l’externalisation de fonctions critiques et DORA.
Les orientations sur certains aspects des exigences de la fonction de conformité de MiFID II (ESMA35-36-1952) consacrent une orientation à l’externalisation : la responsabilité ne se délègue pas, la fonction doit rester permanente et efficace, la direction générale la supervise et sa continuité est garantie. La CNMV applique ces orientations.
L’externalisation de la conformité se prépare dès le dossier pour créer une EAF et se revoit lors du contrôle des risques des ESI. Si vous êtes une société de gestion, le régime est différent : voyez comment externaliser la conformité d’une société de gestion.