Nous concevons et renforçons le dispositif de gestion des risques de votre entreprise d’investissement (ESI) devant la CNMV : cartographie des risques, unité et comité des risques, fonction de conformité, audit interne, cadre prudentiel IFR/IFD et reporting au superviseur. Un modèle cohérent, proportionné et défendable.
Consultation gratuite
Nous vous répondons en moins de 24 h
Six blocs qui forment un dispositif de gestion des risques cohérent, proportionné et défendable devant la CNMV pour toute entreprise d’investissement.
Nous identifions et classons les risques pertinents de votre entité — crédit, marché, liquidité, opérationnel, concentration, technologique et de conformité — et nous les traduisons en un profil de risque aligné sur l’approche RtC/RtM/RtF du cadre prudentiel.
Nous concevons la fonction indépendante de gestion des risques, le comité des risques et leur reporting à l’organe d’administration conformément au décret royal 813/2023 et à la loi 6/2023 (LMVSI), avec une portée proportionnée à la taille de l’entité.
Nous mettons en place la fonction de conformité (compliance) exigée par MiFID II : contrôle de la conduite, adéquation, conflits d’intérêts, gouvernance des produits et reporting au superviseur.
Nous définissons la troisième ligne de défense : plan annuel d’audit interne, revue indépendante des contrôles et suivi des recommandations et des constats.
Nous analysons les exigences de fonds propres par facteurs K, le capital initial et la classification de votre ESI au regard du règlement (UE) 2019/2033 (IFR) et de la directive (UE) 2019/2034 (IFD).
Nous intégrons le risque technologique dans le dispositif de l’ESI : gestion du risque TIC, continuité, notification des incidents et contrôle des prestataires critiques conformément à DORA.
Sociedades de valores (sociétés de bourse), agencias de valores (courtiers en valeurs), sociétés de gestion de portefeuille ou sociétés de conseil financier : chaque catégorie a son profil de risque, son capital et ses exigences d’organisation interne devant la CNMV.
« Autorisée à négocier pour compte propre et à garantir des émissions, la sociedad de valores concentre le risque de marché et de contrepartie : elle exige le capital initial le plus élevé et un dispositif de risques robuste. »
« L’agencia de valores opère pour compte de tiers. Le risque se déplace vers l’opérationnel, la conservation des fonds et des instruments, et le risque de conformité. »
« La société de gestion de portefeuille gère de façon discrétionnaire : le contrôle porte sur l’adéquation, les conflits d’intérêts, la meilleure exécution et le risque de réputation. »
« La société de conseil financier présente un profil de risque faible, mais reste tenue d’avoir un dispositif de risques et de conformité proportionné à son activité devant la CNMV. »
Un dispositif de risques faible ou purement formel se traduit par des demandes d’informations de la CNMV, des exigences supplémentaires de capital, des sanctions et une atteinte à la réputation qui pèsent sur l’activité de l’entité.
L’erreur la plus fréquente : traiter la fonction de risques comme un document et non comme une fonction vivante. Lorsque le comité des risques ne réunit ni preuves, ni procès-verbaux, ni suivi, le modèle ne résiste pas à une revue du superviseur.
La CNMV évalue l’organisation interne, pas seulement le papier : si la cartographie des risques, la gouvernance, la fonction de conformité et l’audit interne ne s’articulent pas entre eux, le processus de revue prudentielle met les failles au jour.
Le cadre prudentiel est proportionné mais exigeant : avec IFR/IFD, les fonds propres se calculent par facteurs K et la CNMV peut imposer des exigences de capital supplémentaires si l’évaluation des risques est insuffisante.
Si la CNMV estime que les risques ne sont pas suffisamment couverts, elle peut exiger des fonds propres supplémentaires au-delà de l’exigence de l’IFR.
Les défaillances d’organisation interne et de gestion des risques sont qualifiées d’infractions par la LMVSI et peuvent entraîner des sanctions et engager la responsabilité des administrateurs.
Un incident de contrôle ou un blâme public érode la relation avec les clients, les contreparties et les dépositaires, au détriment de l’activité.
Avant une inspection ou un agrément, il convient de revoir la cartographie des risques, la gouvernance interne, les fonctions de contrôle et le calcul des fonds propres pour s’assurer que le modèle résiste à la revue du superviseur.
C’est l’ensemble des politiques, fonctions et procédures qu’une entreprise d’investissement met en place pour identifier, mesurer, surveiller et atténuer les risques liés à son activité. Il comprend la fonction de gestion des risques, le comité des risques, la fonction de conformité et l’audit interne.
Ce n’est pas une formalité documentaire : la CNMV attend une organisation interne réelle et proportionnée, capable de soutenir l’activité avec des contrôles exécutés et des preuves.
Le cadre principal est la loi 6/2023 du 17 mars sur les marchés de valeurs et les services d’investissement (LMVSI) et son développement, le décret royal 813/2023 du 8 novembre, qui a abrogé le RD 217/2008.
S’y ajoutent MiFID II (directive 2014/65/UE) et le règlement délégué (UE) 2017/565, ainsi que le cadre prudentiel IFR/IFD : règlement (UE) 2019/2033 et directive (UE) 2019/2034.
La LMVSI régit la gestion du risque et le comité des risques et, nouveauté par rapport au régime antérieur, étend cette exigence aux petites ESI non interconnectées (ESIPNI), en renvoyant à un développement réglementaire proportionné.
En pratique, la portée et le degré de formalisation du comité se modulent selon la taille, la nature et la complexité de l’entité. Nous analysons la configuration qui convient à votre ESI.
C’est le régime prudentiel propre aux entreprises d’investissement, formé par le règlement (UE) 2019/2033 (IFR) et la directive (UE) 2019/2034 (IFD), transposée en droit espagnol par la LMVSI et le RD 813/2023.
Il remplace l’application généralisée du cadre bancaire (CRR/CRD) par un modèle proportionné au risque et à la taille, fondé sur les facteurs K.
C’est le modèle de référence du contrôle interne :
La CNMV attend que ces lignes soient clairement distinctes et dotées d’indépendance et de moyens.
La fonction de gestion des risques identifie et mesure les risques et veille à leur contrôle ; la fonction de conformité surveille le respect des règles de conduite (MiFID II) et les conflits d’intérêts ; l’audit interne vérifie de façon indépendante que les deux fonctionnent.
Ce sont des fonctions distinctes et, dans la mesure où la proportionnalité le permet, indépendantes entre elles et de l’activité.
Elle contrôle la cohérence et la suffisance de l’organisation interne : cartographie et appétit pour le risque, gouvernance d’entreprise, honorabilité et compétence des administrateurs et des responsables de fonctions clés, politiques de conflits d’intérêts et de rémunération, système de contrôle et preuves de son fonctionnement.
Dans le cadre de la revue prudentielle, elle peut demander des informations, exiger des mesures correctrices et imposer des exigences supplémentaires de fonds propres.
En règle générale : risque de crédit et de contrepartie, de marché, de liquidité, opérationnel, de concentration, technologique (TIC), de conformité et de réputation.
Le cadre IFR classe en outre le risque en trois grands blocs — risque pour le client (RtC), pour le marché (RtM) et pour l’entité elle-même (RtF) — qui orientent le calcul des fonds propres par facteurs K.
Une ESI petite et non interconnectée : une entreprise d’investissement qui, par sa taille et son activité, remplit les seuils l’exemptant des exigences les plus lourdes du cadre prudentiel (par exemple, des revenus issus des services d’investissement inférieurs à 30 millions d’euros en moyenne, entre autres critères). Un régime simplifié et proportionné lui est applicable.
Ce sont les paramètres que le règlement IFR utilise pour calculer les exigences de fonds propres des ESI en fonction du risque qu’elles génèrent. Ils se répartissent en trois familles : risque pour le client (RtC), risque pour le marché (RtM) et risque pour l’entité elle-même (RtF), et mesurent des variables telles que les actifs gérés, les ordres traités ou les fonds de clients conservés.
Les ESI de plus grande taille et les plus interconnectées (dont les actifs consolidés dépassent certains seuils) peuvent être soumises au cadre bancaire et, le cas échéant, tenues de demander l’agrément en tant qu’établissement de crédit. La CNMV peut en outre exiger l’application des exigences du CRR à certaines entités en raison de leur importance systémique.
Le règlement DORA, applicable depuis janvier 2025, oblige les ESI à disposer d’un dispositif de gestion du risque technologique : gouvernance TIC, continuité opérationnelle, enregistrement et notification des incidents, tests de résilience et supervision des prestataires critiques. C’est une composante du dispositif de risques, non un compartiment isolé.
Cela dépend du type d’entité. À titre indicatif, dans le cadre IFD/RD 813/2023 : 750 000 € pour les sociedades de valores qui négocient pour compte propre ou garantissent des émissions ; 150 000 € pour les agencias de valores ; et 75 000 € pour les sociétés de gestion de portefeuille et les sociétés de conseil financier. Le montant exact doit être validé en fonction des services agréés.
Le Fonds de garantie des investissements (FOGAIN) couvre les clients des ESI en cas d’insolvabilité de l’entité, dans les limites légales. L’adhésion et le régime de contributions dépendent du type d’ESI ; certaines EAF et EAFN bénéficient d’un régime spécifique en vertu de la LMVSI.
Toutes les entreprises d’investissement n’ont pas le même profil de risque ni les mêmes exigences. Le capital initial et la portée du dispositif de contrôle dépendent des services que l’entité fournit.
L’effort de contrôle dépend de deux blocs : le profil de risque issu des services agréés et le cadre prudentiel applicable (classe d’ESI au sens d’IFR/IFD).
Avant de mettre quoi que ce soit en place, nous arrêtons le diagnostic du profil de risque et de la classe d’ESI. Le dispositif est ainsi proportionné : ni surdimensionné ni insuffisant devant la CNMV.
| Type d’ESI | Sociedad de valores (société de bourse) | Agencia de valores (courtier en valeurs) | Gestionnaire de portefeuilles | EAFN |
|---|---|---|---|---|
| Capital initial (indicatif) | 750 000 € | 150 000 € (75 000 € sans conservation) | 75 000 € | 75 000 € |
| Négocie pour compte propre | Oui | Non | Non | Non |
| Conserve fonds et instruments | Oui | Possible | Non | Non |
| Risque prédominant | Marché et contrepartie | Opérationnel et conservation | Conflits d’intérêts et adéquation | Conformité (faible) |
| Comité et fonction de risques | Oui | Oui | Oui | Proportionné |
| Superviseur | CNMV | CNMV | CNMV | CNMV |
Chiffres indicatifs à des fins de comparaison. Le capital initial exact, la classe prudentielle et la portée du dispositif de risques dépendent des services d’investissement concrets fournis par l’entité et doivent être validés au cas par cas conformément à la LMVSI, au RD 813/2023 et à IFR/IFD.
Un dispositif de risques efficace n’est pas un manuel : c’est un système qui démontre la cohérence entre gouvernance, fonctions de contrôle, capital et preuves. L’essentiel est de construire quelque chose de proportionné qui résiste à la revue prudentielle de la CNMV.
Le superviseur examine si l’organisation interne soutient l’activité : administrateurs honorables et compétents, fonctions clés dotées d’indépendance, politiques cohérentes et preuves que les contrôles sont réellement exécutés.
La cartographie des risques, l’appétit pour le risque et le reporting du comité à l’organe d’administration doivent être conçus avant le capital. Sans eux, le calcul des fonds propres perd son fondement.
Conformité, audit interne, reporting des états réservés et DORA doivent tenir dans la durée, et pas seulement pour obtenir l’agrément ou passer une inspection ponctuelle.
Si vous souhaitez structurer ou revoir le dispositif de risques de votre ESI, consultez nos services de réglementation du marché des valeurs ou le domaine corporate compliance.
Un dispositif de risques efficace n’est pas un dossier : c’est un ensemble de décisions cohérentes (cartographie des risques, gouvernance et fonctions de contrôle, fonds propres et reporting) qui se démontrent par la traçabilité. Voici un panneau pour comprendre comment le concrétiser.
1) Cartographie des risquesL’objectif n’est pas de remplir un modèle : c’est d’identifier les risques réels de l’entité et de fixer un appétit pour le risque qui conditionne les décisions et le capital.
2) GouvernanceLa fonction de risques, le comité des risques et leur reporting à l’organe d’administration doivent s’articuler avec la conformité et l’audit interne, sans chevauchements ni lacunes.
3) CapitalLe calcul par facteurs K et le capital initial doivent être cohérents avec le profil de risque. Un calcul fragile donne lieu à des demandes d’informations de la CNMV.
4) Contrôle continuConformité, audit interne, DORA, reporting et suivi font du dispositif une fonction réelle : revue, corrections et preuves vivantes dès le premier jour.
Décision rapideESI de grande taille et interconnectée : elle peut être soumise au cadre bancaire (CRR/CRD) ou devoir obtenir un agrément d’établissement de crédit.
ESI standard : fonds propres par facteurs K, comité des risques et organisation interne complète.
ESI petite et non interconnectée : régime simplifié et proportionné, sans cesser de contrôler ses risques.
Identification des risques pertinents et de limites cohérentes avec le modèle économique et la classe d’ESI.
Document d’appétit pour le risque, cartographie des risques et politiques par catégorie de risque.
Fonction indépendante qui mesure, surveille et rapporte les risques à l’organe d’administration.
Nomination du responsable, rapports de risques et reporting périodique au conseil.
Organe de composition et de périodicité proportionnées, qui conseille sur la stratégie de risque.
Règlement du comité, procès-verbaux, ordre du jour et suivi des décisions.
Surveillance de la conduite MiFID II, des conflits d’intérêts et de la gouvernance des produits.
Manuel de conformité, rapport annuel, registre des conflits d’intérêts et preuves de contrôle.
Revue indépendante de l’efficacité de la gestion des risques et de la conformité.
Plan annuel d’audit, rapports de revue et suivi des recommandations.
Calcul par facteurs K, capital initial et couverture suffisante du profil de risque.
Note de calcul des fonds propres, états réservés et évaluation du capital.
Repérez-les avant un agrément ou une inspection pour éviter les demandes d’informations et les mesures correctrices.
Si vous structurez le dispositif de risques d’une entreprise d’investissement, ces termes apparaissent dans les politiques internes, dans les rapports et dans les échanges avec la CNMV.
Entité agréée par la CNMV pour fournir des services d’investissement : sociedades de valores (sociétés de bourse), agencias de valores (courtiers en valeurs), sociétés de gestion de portefeuille et sociétés de conseil financier.
Fonction indépendante qui identifie, mesure et surveille les risques de l’entité et en rend compte à l’organe d’administration. Elle peut s’appuyer sur une unité de gestion des risques.
Organe qui conseille le conseil sur la stratégie et l’appétit pour le risque. La LMVSI l’exige de façon proportionnée, y compris pour les ESIPNI.
Règlement (UE) 2019/2033 (IFR) et directive (UE) 2019/2034 (IFD) : régime prudentiel proportionné au risque et à la taille de l’ESI, distinct du cadre bancaire.
Paramètres de l’IFR pour calculer les fonds propres selon le risque : pour le client (RtC), pour le marché (RtM) et pour l’entité elle-même (RtF).
Modèle de contrôle : l’activité (1re), la gestion des risques et la conformité (2e) et l’audit interne (3e). Elles doivent être distinctes et dotées d’indépendance.
ESI qui remplit les seuils l’exemptant des exigences les plus lourdes du cadre prudentiel. Un régime simplifié et proportionné lui est applicable.
Règlement européen applicable depuis janvier 2025, qui exige la gestion du risque TIC, la continuité, la notification des incidents et le contrôle des prestataires critiques.
Informations périodiques que les ESI transmettent à la CNMV sur la solvabilité, l’activité et les risques, au moyen des circulaires de la Commission. Base de la surveillance continue.
Téléchargez notre guide avec le dispositif complet : organisation interne, fonctions de contrôle, comité des risques, cadre IFR/IFD et préparation à la revue prudentielle.
Parlez-nous de votre ESI et nous vous expliquons comment structurer ou renforcer le dispositif de contrôle des risques devant la CNMV.
Le contrôle et la gestion des risques des entreprises d’investissement s’articulent en Espagne autour de la loi 6/2023 du 17 mars sur les marchés de valeurs et les services d’investissement (LMVSI) et de son développement réglementaire, le décret royal 813/2023 du 8 novembre, qui a abrogé le RD 217/2008 et achevé la transposition de la directive (UE) 2019/2034 (IFD). La supervision relève de la CNMV, qui évalue l’organisation interne, l’honorabilité et la compétence des administrateurs et des responsables de fonctions clés, ainsi que la suffisance du dispositif de gestion des risques.
Le RD 813/2023 développe les mesures d’organisation interne — gestion des risques, unité de gestion des risques, conflits d’intérêts et registres — et, pour les entités de grande taille et interconnectées, la gouvernance interne et le traitement des risques avec un comité des risques. La LMVSI régit la gestion du risque et étend l’obligation de comité des risques aux ESI petites et non interconnectées, avec un développement proportionné à la taille et au profil de l’entité.
Le régime prudentiel des ESI relève du règlement (UE) 2019/2033 (IFR) et de la directive (UE) 2019/2034 (IFD), qui remplacent l’application généralisée du cadre bancaire par un modèle proportionné au risque. Les exigences de fonds propres se calculent par facteurs K, regroupés en risque pour le client (RtC), pour le marché (RtM) et pour l’entité elle-même (RtF). Les ESI de plus grande importance systémique peuvent être soumises au cadre bancaire ou devoir obtenir un agrément d’établissement de crédit.
À l’organisation s’ajoutent les règles de conduite de MiFID II (directive 2014/65/UE) et du règlement délégué (UE) 2017/565 : adéquation, conflits d’intérêts et gouvernance des produits. Le modèle de contrôle repose sur trois lignes de défense — l’activité, les fonctions de risques et de conformité, et l’audit interne — que la CNMV attend distinctes, indépendantes et dotées de moyens.
Dans le cadre de la revue prudentielle, la CNMV peut demander des informations, exiger des mesures correctrices et imposer des exigences supplémentaires de fonds propres lorsqu’elle estime que les risques ne sont pas suffisamment couverts. Un dispositif de risques cohérent et étayé par des preuves réduit le risque de demandes d’informations et de procédures de sanction.
Textes de référence, avec lien vers le texte officiel :
Textes et liens vérifiés en .