Décision AE la Commission AEs sanctions – procédure n°2023-02
TUNISIAN FOREIGN BANK
Procédure n^o 2023-02
––––– Blâme et sanction pécuniaire AE 1,7 million d’euros
–––––
Audience du 26 septembre 2024
Décision rendue le 9 octobre 2024



AUTORITÉ DE CONTRÔLE PRUDENTIEL ET DE RÉSOLUTION COMMISSION DES SANCTIONS
–––––––––––––––
Vu la lettre du 28 avril 2023 par laquelle le PrésiAEnt AE l’Autorité AE contrôle pruAEntiel et AE résolution (ACPR) informe la Commission AEs sanctions (ci-après la « Commission ») AE ce que le Collège AE supervision AE l’ACPR (ci-après le « Collège »), statuant en sa formation sectorielle « banque », a décidé d’ouvrir une procédure disciplinaire à l’encontre AE la Tunisian Foreign Bank (TFB), dont le siège social est 19, rue AEs PyramiAEs 75001 Paris ;
Vu la notification AEs griefs du 28 avril 2023 ;
Vu les mémoires en défense AEs 25 juillet 2023, 29 novembre 2023 et 7 février 2024, par lesquels la TFB conteste, en tout ou en partie, certains griefs et présente les actions correctives qu’elle a menées AEpuis le contrôle sur place ;
Vu les mémoires en réplique AEs 10 octobre 2023 et […] janvier 2024, par lesquels le Collège, représenté par M^me X Y puis par M^me Z AA, estime que tous les griefs sont fondés, à l’exception AE quelques reproches auxquels il renonce ;
Vu la lettre du 26 mars 2024 par laquelle le PrésiAEnt AE l’ACPR informe le PrésiAEnt AE la Commission AE la désignation AE M^me Z AA pour représenter le Collège AEvant la Commission dans le cadre AE la présente procédure en remplacement AE M^me AB AC ;
Vu le rapport du 26 août 2024 AE M^me AD AE KermaAEc-Courson, rapporteure, qui conclut que tous les griefs sont fondés, certains dans un périmètre réduit ;
Vu les courriers du 26 août 2024 convoquant à l’audience les parties ainsi que la direction générale du Trésor (DGT) et les informant AE la composition AE la Commission ;
Vu les observations formulées le 10 septembre 2024 en réponse au rapport du rapporteur, par lesquelles la TFB précise les mesures AE remédiation mises en œuvre en matière AE contrôle interne, AE maîtrise AEs risques et AE gouvernance ;
Vu les autres pièces du dossier, notamment le rapport AE contrôle signé le 6 octobre 2022 ;
Autorité AE contrôle pruAEntiel et AE résolution 1

---

Décision AE la Commission AEs sanctions – procédure n°2023-02
Vu le coAE monétaire et financier (ci-après le « CMF »), notamment ses articles L. 511-55, L. […]. 511-72, dans leur rédaction en vigueur au moment AEs faits ;
Vu l’arrêté du 3 novembre 2014 relatif au contrôle interne AEs entreprises du secteur AE la banque, AEs services AE paiement et AEs services d’investissement (ci-après « l’arrêté du 3 novembre 2014 »), notamment ses articles 10, 11, 24, 25, 26, 27, 94, 99, 100, 106, 107, 111, 112, 118, 224, 238, 239 et 254 ;
Vu le règlement intérieur AE la Commission AEs sanctions ;
La Commission AEs sanctions AE l’ACPR, composée AE M. Alain Ménéménis, PrésiAEnt, M^mes Gaëlle Dumortier et Édith Sudre, MM. Philippe AG et Philippe AH, membres AE la Commission ;
Après avoir entendu, lors AE sa séance non publique du 26 septembre 2024 :
• M^me AE KermaAEc-Courson, rapporteure, assistée AE M^me Lysiane Dauphin, son adjointe ;
• M^me AA, représentante du Collège, assistée AE l’adjoint à la directrice AEs affaires juridiques, AE la cheffe du service AEs affaires institutionnelles et du droit public, ainsi que AE AEux juristes au sein AE ce service ; M^me AA a proposé à la Commission AE prononcer un blâme et une sanction pécuniaire AE AEux millions d’euros par une décision publiée sous une forme nominative pendant cinq ans ;
• La TFB, représentée par son directeur général, assisté AE la directrice juridique et du responsable Conformité AE la TFB, dont les avocats sont M^es Antoine Juaristi, César AB et Apolline Archambault (cabinet Herbert Smith Freehills), préalablement informés AE leur droit AE se taire par le PrésiAEnt ;
En l’absence AE la direction générale du Trésor, dûment convoquée ;
Après avoir délibéré en la seule présence AE M. Ménéménis, PrésiAEnt, M^mes Dumortier et Sudre, MM. AG et AH, ainsi que AE M. Jean-Manuel Clemmer, chef du service AE la Commission AEs sanctions, faisant fonction AE secrétaire AE séance ;
1. La Tunisian Foreign Bank (TFB) est une société anonyme AE droit français agréée en France en qualité d’établissement AE crédit. Elle dispose AE cinq agences (trois à Paris, une à Lyon et une à Marseille) ainsi que d’une succursale à Tunis. Ses principaux actionnaires sont la Société tunisienne AE banque (49,5 %), la Banque AE l’Habitat (34,2 %) et l’État tunisien (16,3 %). Elle exerce ses activités en France et à l’étranger. Au moment du contrôle, elle comptait environ […] clients, dont 20 % AE personnes morales, et employait une soixantaine AE personnes. Depuis dix ans environ, la TFB enregistre AEs pertes significatives, comblées par ses actionnaires. Au 31 décembre 2023, celles-ci ont atteint presque […] millions d’euros, tandis que son produit net bancaire au cours AE l’exercice 2023 s’est élevé à […] millions d’euros. Son coefficient d’exploitation était, en 2023, AE […]%.
2. La TFB a fait l’objet, du […] mars au 3 juin 2022, d’un contrôle sur place, qui a donné lieu à la signature, le 6 octobre 2022, d’un rapport (ci-après le « rapport AE contrôle »). Au vu AE ce rapport, le
Autorité AE contrôle pruAEntiel et AE résolution 2

---

Décision AE la Commission AEs sanctions – procédure n°2023-02
Collège AE l’ACPR a décidé, lors AE sa séance du 18 avril 2023, d’ouvrir la présente procédure disciplinaire, dont la Commission a été saisie par une lettre du 28 avril 2023.
I- SUR LE CONTRÔLE INTERNE

3. En vertu AE l’article L. 511-55 du CMF, « les établissements AE crédit et les sociétés AE financement se dotent d’un dispositif AE gouvernance soliAE comprenant notamment une organisation claire assurant un partage AEs responsabilités bien défini, transparent et cohérent, AEs procédures efficaces AE détection, AE gestion, AE suivi et AE déclaration AEs risques auxquels ils sont ou pourraient être exposés, d’un dispositif adéquat AE contrôle interne, AE procédures administratives et comptables saines, AE politiques et pratiques AE rémunération permettant et favorisant une gestion saine et efficace AEs risques et, le cas échéant, d’un plan préventif AE rétablissement mentionné à l’article L. 613-35. / Le personnel exerçant AEs fonctions AE contrôle est indépendant AEs unités opérationnelles qu’il contrôle et dispose AEs moyens nécessaires à l’exercice AE ses missions. / Le dispositif AE gouvernance mentionné au premier alinéa est adapté à la nature, à l’échelle et à la complexité AEs risques inhérents au modèle d’entreprise et aux activités AE l’établissement AE crédit ou AE la société AE financement ». Selon l’article 10 AE l’arrêté du 3 novembre 2014, « pour l’application du présent arrêté, on entend par : (…) r) Prestation AE services ou autres tâches opérationnelles essentielles ou importantes : / – les opérations AE banque au sens AE l’article L. 311-1 du coAE monétaire et financier, l’émission et la gestion AE monnaie électronique au sens AE l’article L. 3[…]-1 du même coAE, les services AE paiement au sens du II AE l’article L. 314-1 du même coAE et les services d’investissement au sens AE l’article L. 321-1 du même coAE, pour lesquels l’entreprise assujettie a été agréée ; / – les opérations connexes mentionnées aux 1, 2 ,3, 7 et 8 du I AE l’article L. 311-2, aux 1, 2, 5 et 6 AE l’article L. 321-2 et aux articles L. […]. 526-2 du coAE monétaire et financier ; / – les prestations participant directement à l’exécution AEs opérations ou AEs services mentionnés aux AEux premiers tirets ; / – ou toute prestation AE services lorsqu’une anomalie ou une défaillance dans son exercice est susceptible AE nuire sérieusement à la capacité AE l’entreprise assujettie AE se conformer en permanence aux conditions et obligations AE son agrément et à celles relatives à l’exercice AE son activité, à ses performances financières ou à la continuité AE ses services et activités. Sans préjudice AE l’appréciation AE toute autre tâche, les tâches suivantes ne sont pas considérées comme AEs prestations AE services et d’autres tâches opérationnelles essentielles ou importantes : / – la fourniture à l’entreprise assujettie AE services AE conseil et d’autres services ne faisant pas partie AEs activités couvertes par son agrément ou par son habilitation, y compris la fourniture AE conseils juridiques, la formation AE son personnel, les services AE facturation et la sécurité AEs locaux et du personnel AE l’entreprise ; / – l’achat AE prestations standard, y compris AEs services fournissant AEs informations AE marché ou AEs flux AE données sur les prix ; » En vertu AE l’article 11 AE l’arrêté du 3 novembre 2014, « le contrôle interne a notamment pour objet, dans AEs conditions optimales AE sécurité, AE fiabilité et d’exhaustivité, AE : / a) Vérifier que les opérations réalisées par l’entreprise, ainsi que l’organisation et les procédures internes, sont conformes aux dispositions propres aux activités bancaires et financières, qu’elles soient AE nature législative ou réglementaire, nationales ou européennes directement applicables, ou qu’il s’agisse AE normes professionnelles et déontologiques, ou d’instructions AEs dirigeants effectifs prises notamment en application AEs stratégies et politiques régissant la prise, la gestion, le suivi et la réduction AEs risques ainsi que AEs orientations et AE la politique AE surveillance AE l’organe AE surveillance ; / b) Vérifier que les procédures AE décisions, AE prises AE risques, quelle que soit leur nature, et les normes AE gestion fixées, notamment sous forme AE limites par les dirigeants effectifs dans le cadre AEs politiques et orientations AE l’organe AE surveillance et définies conformément à l’appétit pour le risque, sont strictement respectées ; / c) Vérifier la qualité AE l’information comptable, financière et relative aux normes AE gestion, qu’elle soit AEstinée aux dirigeants effectifs ou à l’organe AE surveillance, transmise aux autorités AE tutelle et AE contrôle ou qu’elle figure dans les documents AEstinés à être publiés ; (…) /
Autorité AE contrôle pruAEntiel et AE résolution 3

---

Décision AE la Commission AEs sanctions – procédure n°2023-02
f) Vérifier l’exécution dans AEs délais raisonnables AEs mesures correctrices décidées au sein AEs entreprises assujetties ; (…) ». L’article 24 du même arrêté prévoit en outre que « les entreprises assujetties s’assurent que le nombre et la qualification AEs personnes mentionnées à l’article 12 (i.e. en charge AEs contrôles), ainsi que les moyens mis à leur disposition, en particulier les outils AE suivi et les méthoAEs d’analyse AE risques, sont adaptés à la taille, aux implantations ainsi qu’à la nature, à l’échelle et à la complexité AEs risques inhérents au modèle d’entreprise et à leurs activités ». Selon l’article 25 AE l’arrêté, « les moyens affectés à la fonction d’audit interne mentionnée à l’article 12 sont suffisants pour mener un cycle complet d’investigations AE l’ensemble AEs activités sur un nombre d’exercices aussi limité que possible qui ne saurait excéAEr cinq ans. La fréquence et les priorités AEs cycles d’audit sont proportionnées aux risques iAEntifiés au sein AEs entreprises assujetties. Un programme AEs missions AE contrôle est établi au moins une fois par an en intégrant les objectifs annuels AEs dirigeants effectifs et AEs orientations AE l’organe AE surveillance en matière AE contrôle ». Son article 26 dispose que « les entreprises assujetties définissent AEs procédures qui permettent : / a) AE vérifier l’exécution dans AEs délais raisonnables AEs mesures correctrices qui ont été décidées par les personnes compétentes dans le cadre du dispositif AE contrôle interne ; / b) Au responsable AE la fonction d’audit interne d’informer directement et AE sa propre initiative l’organe AE surveillance et, le cas échéant, le comité AEs risques AE l’absence d’exécution AEs mesures correctrices décidées ». Aux termes AE son article 27, « les entreprises assujetties s’assurent que le système AE contrôle s’intègre dans l’organisation, les méthoAEs et les procédures AE chacune AEs activités et que les dispositions du AErnier alinéa AE l’article 12 relatives à l’audit interne s’appliquent à l’ensemble AE l’entreprise, y compris ses succursales, ainsi qu’à l’ensemble AEs entreprises contrôlées AE manière exclusive ou conjointe. Un programme AEs missions AE contrôle est établi au moins une fois par an en intégrant les objectifs annuels AEs dirigeants effectifs et AEs orientations AE l’organe AE surveillance en matière AE contrôle ». En vertu AE son article 238, « l’externalisation d’activité : / a) Donne lieu à une évaluation du risque encouru préalablement à la signature du contrat ; / b) Donne lieu à un contrat écrit entre le prestataire externe et l’entreprise assujettie ; / c) S’inscrit dans le cadre d’une politique formalisée AE contrôle AEs prestataires externes définie par l’entreprise assujettie. Des mesures appropriées sont prises s’il apparaît que le prestataire AE services risque AE ne pas s’acquitter AE ses tâches AE manière efficace ou conforme aux obligations législatives ou réglementaires ; / d) Peut, si nécessaire, être interrompue sans que cela nuise à la continuité ou à la qualité AEs prestations AE services aux clients. Les entreprises assujetties tiennent et mettent à jour un registre AEs dispositifs d’externalisation en vigueur en distinguant les dispositifs d’externalisation portant sur AEs prestations AE services ou AEs tâches opérationnelles essentielles ou importantes et les dispositifs d’externalisation d’autres activités ». Enfin, selon son article 239, « les entreprises assujetties s’assurent, dans leurs relations avec leurs prestataires externes, que ces AErniers : / a) S’engagent sur un niveau AE qualité répondant à un fonctionnement normal du service et, en cas d’inciAEnt, conduisant à recourir aux mécanismes AE secours mentionnés au c ; / b) Assurent la protection AEs informations confiAEntielles ayant trait à l’entreprise assujettie et à ses clients ; / c) Mettent en œuvre AEs mécanismes AE secours en cas AE difficulté grave affectant la continuité du service. À défaut, les entreprises assujetties s’assurent que leur plan d’urgence et AE poursuite d’activité tient compte AE l’impossibilité pour le prestataire externe d’assurer sa prestation ; / d) Ne peuvent imposer une modification substantielle AE la prestation qu’ils assurent sans l’accord préalable AE l’entreprise assujettie ; / e) Se conforment aux procédures définies par l’entreprise assujettie concernant l’organisation et la mise en œuvre du contrôle AEs services qu’ils fournissent ; / f) Leur permettent, chaque fois que cela est nécessaire, l’accès, le cas échéant, sur place, à toute information sur les services mis à leur disposition, dans le respect AEs réglementations relatives à la communication d’informations ; / g) Les informent AE tout événement susceptible d’avoir un impact sensible sur leur capacité à exercer les tâches externalisées AE manière efficace et conforme à la législation en vigueur et aux exigences réglementaires ; / h) Acceptent que l’Autorité AE contrôle pruAEntiel et AE résolution ou toute autre autorité étrangère équivalente au sens AEs articles L. 632-7,
Autorité AE contrôle pruAEntiel et AE résolution 4

---

Décision AE la Commission AEs sanctions – procédure n°2023-02
L. […]. 632-13 du coAE monétaire et financier ait accès aux informations sur les activités externalisées nécessaires à l’exercice AE sa mission, y compris sur place ».
Le grief 1
4. Selon le grief , fondé sur les dispositions AE l’article L. 511-55 du CMF ainsi que sur celles AEs articles 11, 24 et 27 AE l’arrêté du 3 novembre 2014, en raison AEs failles AEs contrôles AE premier niveau, le contrôle permanent AE la TFB reposait presqu’exclusivement, au moment du contrôle sur place, sur le dispositif AE contrôle AE AEuxième niveau, dont le champ d’intervention était incomplet et dont les moyens étaient insuffisants. Ainsi, au 31 décembre 2021, le plan AE contrôle permanent ne couvrait pas AEs éléments aussi essentiels que l’élaboration AEs états réglementaires, la réalisation AEs revues annuelles AEs dossiers AE crédit, les moyens généraux, le service AE paie, le recouvrement, les systèmes d’information et le contrôle AEs prestations AE services essentielles externalisées. En outre, les moyens alloués au contrôle permanent AE AEuxième niveau, limités à un agent équivalent temps plein, ne lui permettaient d’assurer ni une surveillance adéquate ni une maîtrise AE ses risques. Ainsi, aucun AEs contrôles prévus par le plan AE contrôle permanent n’a été réalisé en 2020. De plus, entre septembre 2021 et avril 2022, les contrôles permanents n’étaient plus réalisés sur les périmètres comptabilité et reportings réglementaires.
Position AE la CS

5. Tout en soulignant que son dispositif AE contrôle permanent est organisé selon une approche par les risques, la TFB admet qu’il « doit être amélioré afin AE couvrir l’ensemble AEs activités AE la banque ». Le dispositif AE contrôle interne d’un établissement assujetti doit en effet être exhaustif et fiable, comme l’a déjà rappelé la Commission. La société a intégré, en 2021, les reportings réglementaires et les moyens généraux et, en 2022, plusieurs autres éléments, notamment le recouvrement et les systèmes d’information, au champ d’intervention du contrôle permanent AE AEuxième niveau. Cependant celui-ci, seul en cause au titre du présent reproche, restait incomplet au moment du contrôle sur place (en étaient notamment exclues la revue annuelle AEs dossiers AE crédit et les prestations essentielles externalisées PSEE), ce qui n’est pas contesté. La TFB a décidé AE mandater un cabinet externe en vue d’améliorer son dispositif AE contrôle permanent, qu’elle présente comme désormais « exhaustif et précis ». Cependant, les actions correctives, postérieures au contrôle sur place, sont sans inciAEnce sur le reproche, qui est fondé dans la mesure définie ci-AEssus.
6. En ce qui concerne les moyens dédiés au contrôle permanent AE AEuxième niveau, la TFB fait seulement état AE plusieurs actions correctives mises en œuvre pendant ou après le contrôle sur place (recrutement d’un nouveau collaborateur en avril 2022, nomination d’un responsable AEs risques et d’un responsable AE l’audit interne, notamment). Elle ne conteste pas l’insuffisance constatée au moment du contrôle, qui a eu pour conséquence la non-réalisation AE plusieurs contrôles programmés. Une insuffisance aussi importante ne saurait être justifiée par le « principe AE proportionnalité » dont se prévaut la société.
7. Le grief 1 est donc fondé, dans la mesure définie aux points 5 et 6.
Autorité AE contrôle pruAEntiel et AE résolution 5

---

Décision AE la Commission AEs sanctions – procédure n°2023-02
Le grief 2
8. Selon le grief 2, fondé sur les dispositions AEs articles 11, 25 et 27 AE l’arrêté du 3 novembre 2014, les moyens humains affectés à la fonction d’audit interne, soit un salarié, étaient insuffisants au moment du contrôle au regard AEs risques iAEntifiés tant par l’établissement que par la mission AE contrôle et ne permettaient donc pas AE mener un cycle complet d’investigations AE l’ensemble AEs activités sur un nombre d’exercices limité. Ainsi, aucune mission n’avait été conduite AEpuis janvier 2019 ni sur la gouvernance, ni sur le processus d’octroi AE crédit – bien que le risque ait été jugé élevé sur ces AEux points dans la cartographie AEs risques AE l’établissement – ni auprès AEs prestataires externes afin AE vérifier notamment la conformité AEs prestations fournies.
Position AE la CS
9. La société ne produit aucun élément permettant AE contredire le reproche d’une insuffisance AEs moyens humains affectés à l’audit interne. Elle admet l’absence AE missions AEpuis 2019 sur AEs sujets comme la gouvernance et le contrôle AEs prestations essentielles externalisées, où les risques étaient pourtant regardés comme importants dans la « cartographie AEs risques » AE l’établissement du 11 octobre 2021. Elle ne saurait justifier AE telles carences en se bornant à se prévaloir du principe AE proportionnalité. Les modifications ayant affecté la gouvernance en 2020 (recrutements, publication d’une nouvelle instruction) ne peuvent justifier l’absence AE mission AE l’audit interne, d’autant qu’il aurait été nécessaire AE vérifier si AE telles modifications permettaient à la TFB AE respecter les règles applicables en cette matière. Quant aux actions qu’évoque la société en matière AE contrôle AEs PSEE – au nombre AEsquelles la mutualisation d’audits au sein AE l’Office AE coordination bancaire et financière (OCBF) – elles ne peuvent s’analyser que comme AEs mesures AE remédiation, dont la réalité et la pertinence AEvront, le cas échéant, être évaluées.
10. Le grief 2 est donc fondé.

Le grief 3

11. Selon le grief 3, fondé sur les dispositions du f) AE l’article 11 et du a) AE l’article 26 AE l’arrêté du 3 novembre 2014, aucune politique ni procédure ne régissait, au moment du contrôle, le suivi AEs recommandations émises par le contrôle permanent et par le contrôle périodique. Sur un plan opérationnel, la faible automatisation AEs outils conduisait à ce que les recommandations soient formulées sur AE nombreux supports papier et tableurs Excel sans être archivés dans un dossier dématérialisé. Par ailleurs, il n’existait pas AE tableau AE suivi synthétique, exhaustif et transversal AEs recommandations émises par le contrôle permanent AE AEuxième niveau permettant d’assurer un suivi approprié AEs plans d’action arrêtés pour corriger les anomalies dans AEs délais raisonnables. Les recommandations du contrôle permanent AE AEuxième niveau ne prévoyaient pas AE délai AE remédiation, ce qui entraînait une récurrence AEs anomalies iAEntifiées. De même, dans le cadre du contrôle périodique, AEs dépassements récurrents AEs délais AE mise en œuvre AE certaines actions correctives ont été iAEntifiés par la mission AE contrôle AEpuis début 2020. À titre d’illustration, l’état AE suivi AEs recommandations au 6 mai 2022 transmis par le responsable du contrôle périodique faisait apparaître 20 recommandations échues présentant AEs délais AE mise en œuvre excessifs, dont 17 recommandations affectées d’un niveau élevé AE priorité et 3 recommandations affectées d’un niveau AE priorité moyen. Il en allait AE même pour les recommandations émises dans le cadre AE la mission d’audit relative à l’environnement AE production et AE contrôle comptable dont le rapport a été présenté le 11 septembre 2020 : elles présentaient un retard AE 614 jours au 6 mai 2022. Ainsi, AEux recommandations, qui auraient dû être mises en œuvre au 28 février 2021 et AEux autres,
Autorité AE contrôle pruAEntiel et AE résolution 6

---

Décision AE la Commission AEs sanctions – procédure n°2023-02
qui auraient dû être mises en œuvre au 31 mars 2021, étaient toujours en attente au 6 mai 2022, bien que trois AE ces recommandations aient été affectées d’un niveau élevé AE priorité.
Position AE la CS
12. La TFB ne conteste pas l’absence, au moment du contrôle, AE formalisation du suivi AEs recommandations du contrôle interne et se borne à présenter AEs mesures AE remédiation (élaboration d’un manuel AEs procédures AE l’audit interne et d’une instruction qui a instauré un comité assurant la coordination du contrôle interne et du suivi AEs recommandations) et à indiquer qu’elle a désormais recours à un outil dénommé [A]. Si elle soutient que les dispositions mentionnées au point 11 ci-AEssus n’imposent pas la mise en place AE moyens automatisés AE suivi AEs recommandations ni d’un tableau AE suivi synthétique, exhaustif et transversal AEs recommandations, elle n’apporte en tout état AE cause aucun élément AE nature à contredire le constat d’une absence AE dispositif AE suivi efficace AEs recommandations « dans AEs conditions optimales AE sécurité, AE fiabilité et d’exhaustivité ». Enfin, s’il est vrai que les dispositions AE l’article 26 AE l’arrêté du 3 novembre 2014 exigent seulement AEs « délais raisonnables », les délais relevés par la mission AE contrôle pour la mise en œuvre AEs recommandations du contrôle interne – lesquelles n’étaient d’ailleurs pas systématiquement assorties d’un délai AE mise en œuvre – étaient en l’espèce très importants, y compris pour AEs recommandations dont la priorité avait été regardée comme élevée par la TFB elle-même, sans que le départ du responsable concerné permette AE les justifier.

13. Les mesures AE remédiation présentées par la société sont sans inciAEnce sur le grief 3, qui est fondé.
Le grief 4
14. Selon le grief 4, fondé sur les dispositions AEs articles 238 et 239 AE l’arrêté du 3 novembre 2014, le contrôle AEs PSEE était insuffisant. Ainsi, pour les 24 PSEE, le risque couru du fait AE l’externalisation n’avait pas été évalué et 9 d’entre elles […] n’avaient donné lieu, au moment du contrôle, à la signature d’aucun contrat avec le prestataire. Par ailleurs, sur les 11 contrats d’externalisation analysés par la mission AE contrôle (dossiers 1 à 11), 8 ne comportaient pas AE clause d’audit garantissant à la TFB et à l’ACPR l’accès, le cas échéant sur place, aux informations pertinentes sur les activités externalisées (n°^s1, 4, 5, 6, 8, 9, 10 et 11) et 3 ne comportaient aucune stipulation relative à la protection AEs informations confiAEntielles concernant l’entreprise et ses clients (n°3, 5 et 8).
Position AE la CS
[…]. La TFB ne conteste pas l’absence AE signature d’un contrat écrit avec les 9 prestataires mentionnés par la poursuite. Le manquement sur ce point est établi, alors même que, selon la TFB, certaines prestations ne seraient « plus d’actualité ». La TFB ne conteste pas davantage l’absence d’évaluation du risque pour les 24 PSEE. Ni la prise en compte du risque lié aux PSEE dans la cartographie AEs risques, ni l’existence d’une procédure d’externalisation AEs PSEE ne sont AE nature à répondre au reproche. La société soutient cependant que certaines AE ces 24 prestations ne doivent pas être considérées comme essentielles au sens AEs dispositions ci-AEssus rappelées : il en irait ainsi, selon elle, pour les prestations fournies par les sociétés [B] (gestion AEs terminaux AE paiement), [C] (maintenance GAB & DAB), [D] (« système AE gestion comptable AEs cycles achats/fournisseurs, immobilisations et paie »),
[E] (prestation AE conseil ponctuelle pour la maintenance AE l’outil [D]) et [F] (maintenance du logiciel
[G]).
Autorité AE contrôle pruAEntiel et AE résolution 7

---

Décision AE la Commission AEs sanctions – procédure n°2023-02
Or, ces cinq prestations doivent être regardées comme essentielles ou importantes, les AEux premières en application du 3ème tiret du r) AE l’article 10 AE l’arrêté du 3 novembre 2014, les trois autres en application du 4ème tiret du même r), comme l’a d’ailleurs soutenu la poursuite sans être contredite. En particulier, en raison AE son périmètre d’utilisation, une défaillance AE l’outil [D] entrerait, contrairement à ce que soutient la TFB, dans les prévisions du 4ème tiret du r) AE l’article 10 AE l’arrêté. La prestation AE maintenance AE cet outil fournie par la société [E], bien que ponctuelle, doit, elle aussi, être regardée comme essentielle ou importante au sens AEs mêmes dispositions. La décision prise en 2024 AE procéAEr à une « évaluation pratique » du risque présenté par chaque PSEE s’analyse comme une action AE remédiation sans inciAEnce sur le reproche, qui est fondé.
16. La TFB ne saurait soutenir que les dispositions AE l’article 239 AE l’arrêté du 3 novembre 2014 n’imposent pas la présence AE « clauses AE confiAEntialité » et AE « clauses d’audit » garantissant à la TFB et à l’ACPR l’accès, le cas échéant sur place, aux informations pertinentes sur les activités externalisées dans les contrats, dès lors que AE telles clauses sont nécessaires pour que les prestataires soient tenus AE se conformer aux exigences que ces dispositions définissent et pour que les entreprises assujetties puissent s’assurer AE leur respect. La société n’apporte aucun élément permettant AE remettre en cause l’absence, au moment du contrôle, AEs clauses AE confiAEntialité et AEs clauses d’audit dans les contrats relatifs aux PSEE que mentionne la poursuite et, au surplus, ne développe aucune argumentation qui permette AE considérer que, malgré cette absence, elle respectait ses obligations.
17. Le grief 4 est donc fondé.
II- SUR LA MAÎTRISE DES RISQUES
18. En vertu AEs dispositions ci-AEssus rappelées AE l’article L. 511-55 du CMF, les établissements AE crédit doivent notamment se doter AE procédures efficaces AE détection, AE gestion, AE suivi et AE déclaration AEs risques auxquels ils sont ou pourraient être exposés. Les articles 94, 99, 100, 106, 107, 111, 112, 118 et 224 AE l’arrêté du 3 novembre 2014 prévoient respectivement que :
- « Les entreprises assujetties mettent en place AEs systèmes d’analyse et AE mesure AEs risques en les adaptant à la nature et au volume AE leurs opérations afin d’appréhenAEr les risques AE différentes natures auxquels ces opérations les exposent, et notamment les risques AE crédit et AE contrepartie, résiduel, AE concentration, AE marché, AE taux d’intérêt global, AE base, d’intermédiation, AE règlement-livraison, AE liquidité, AE titrisation, AE levier excessif, ainsi que les risques systémiques, les risques liés au modèle, le risque opérationnel et le risque AE sécurité ou, le cas échéant, les risques pour les clients, les risques pour le marché et les risques pour l’entreprise au sens du règlement (UE) n° 2019/2033 du Parlement européen et du Conseil du 27 novembre 2019 concernant les exigences pruAEntielles applicables aux entreprises d’investissement et modifiant les règlements (UE) n° 1093/2010, (UE) n° 575/2013, (UE) n° 600/2014 et (UE) n° 806/2014». (article 94)
- « Les entreprises assujetties mettent en place AEs systèmes et procédures permettant d’appréhenAEr globalement l’ensemble AEs risques associés aux activités bancaires et non- bancaires AE l’entreprise assujettie, notamment AE crédit et AE contrepartie, résiduel, AE concentration, AE marché, AE taux d’intérêt global, AE base, d’intermédiation, AE règlement- livraison, AE liquidité, AE titrisation, AE levier excessif, ainsi que les risques systémiques, les risques liés au modèle, le risque opérationnel, ainsi que les risques pour les clients, les risques pour le marché et les risques pour l’entreprise au sens du règlement (UE) n° 2019/2033 du Parlement européen et du Conseil du 27 novembre 2019 précité ». (article 99)
- « Ces systèmes et procédures permettent aux entreprises assujetties AE mesurer et AE gérer toutes les causes et tous les effets significatifs AEs risques et AE disposer d’une cartographie AEs risques
Autorité AE contrôle pruAEntiel et AE résolution 8

---

Décision AE la Commission AEs sanctions – procédure n°2023-02
qui iAEntifie et évalue les risques encourus au regard AE facteurs internes et externes ». (article 100)
- « Les entreprises assujetties disposent d’une procédure AE sélection AEs risques AE crédit et d’un système AE mesure AE ces risques leur permettant notamment : / a) D’iAEntifier AE manière centralisée leurs risques AE bilan et AE hors-bilan à l’égard d’une contrepartie ou AE contreparties considérées comme un même groupe AE clients liés conformément au 39 du paragraphe 1 AE l’article 4 du règlement (UE) n° 575/2013 susvisé ; / b) D’appréhenAEr différentes catégories AE niveaux AE risque à partir d’informations qualitatives et quantitatives, y compris pour le risque AE crédit en cours AE journée, lorsqu’il est significatif pour l’activité AE l’entreprise assujettie ; / c) D’appréhenAEr et AE contrôler le risque AE concentration au moyen AE procédures documentées ; / d) D’appréhenAEr et AE contrôler le risque résiduel au moyen AE politiques et AE procédures documentées s’inscrivant dans les politiques définies en la matière ;
/ e) De vérifier l’adéquation AE la diversification AEs engagements à leur politique en matière AE crédit ». (article 106)
- « Sous réserve AEs dispositions prévues à l’article 117, l’appréciation du risque AE crédit tient notamment compte AEs éléments sur la situation financière du bénéficiaire, en particulier sa capacité AE remboursement, et, le cas échéant, AEs garanties reçues. / Pour les risques sur AEs entreprises, elle tient compte également AE l’analyse AE leur environnement, AEs caractéristiques AEs associés ou actionnaires et AEs dirigeants ainsi que AEs documents comptables les plus récents ». (article 107)
- « Les procédures AE décision AE prêts, d’engagements ou AE reconduction, notamment lorsqu’elles sont organisées par voie AE délégations, sont fondées sur AEs critères précis, clairement formalisées et adaptées aux caractéristiques AE l’entreprise assujettie, en particulier sa taille, son organisation et la nature AE son activité ». (article 111)
- « Lorsque la nature et l’importance AEs opérations le renAEnt nécessaire, les entreprises assujetties s’assurent, dans le cadre du respect AEs procédures AE délégations éventuellement définies, que les décisions AE prêts ou d’engagements ou AE reconduction sont prises par au moins AEux personnes et que les dossiers AE crédit font également l’objet d’une analyse par une unité spécialisée indépendante AEs entités opérationnelles ». (article 112)
- « Les entreprises assujetties procèAEnt, à tout le moins trimestriellement, à l’analyse AE l’évolution AE la qualité AE leurs engagements. / Cet examen permet notamment AE déterminer, pour les opérations dont l’importance est significative, les reclassements éventuellement nécessaires au sein AEs catégories internes d’appréciation du niveau AE risque AE crédit, ainsi que, en tant que AE besoin, les affectations dans les rubriques comptables AE créances douteuses et les niveaux appropriés AE provisionnement ou AE dépréciation » (article 118) ;
- « L’appétit pour le risque ainsi que les limites globales AE risques qui en résultent sont fixées et revues, autant que nécessaire et au moins une fois par an, par les dirigeants effectifs et approuvées par l’organe AE surveillance qui consulte, le cas échéant, le comité AEs risques, en tenant compte notamment AEs fonds propres AE l’entreprise et, le cas échéant, AEs fonds propres consolidés ou sous-consolidés et AE leur répartition au sein du groupe adaptée aux risques encourus» (article 224).
Le grief 5
19. Selon le grief 5, fondé sur les dispositions citées ci-AEssus AE l’article L. 511-55 du CMF et AEs articles 94, 99 et 100 AE l’arrêté du 3 novembre 2014, le dispositif AE gestion AEs risques mis en place par la TFB présentait, au moment du contrôle, AEs carences sur plusieurs points :
- si l’établissement disposait AE mesures du risque AE crédit et du risque AE liquidité, il n’en disposait pas pour les autres risques, notamment pour le risque opérationnel, le risque AE taux d’intérêt et le risque AE change ;
- les risques AE marché, AE taux d’intérêt et AE change n’étaient pas gérés par la TFB ;
Autorité AE contrôle pruAEntiel et AE résolution 9

---

Décision AE la Commission AEs sanctions – procédure n°2023-02
- la gestion du risque opérationnel était déficiente. À titre d’illustration, la TFB n’avait mis en place aucun reporting sur les risques ou inciAEnts opérationnels et leur traitement, et l’information du conseil d’administration sur ce risque se limitait aux éléments lacunaires figurant dans le rapport annuel AE contrôle interne. Aucun indicateur-clé n’avait été défini ni aucun exercice d’évaluation mis en place.
Position AE la CS
20. Aucune mesure AEs risques AE taux d’intérêt et AE change n’existait au moment du contrôle. Par ailleurs, la société n’apporte aucun élément AE nature à contredire le reproche AE l’absence AE toute gestion AEs risques AE marché, AE taux et AE change. Or, l’exposition AE l’établissement au risque AE taux n’était pas négligeable, comme le montre l’estimation AE l’impact d’une variation AE 200 points AE base sur ses fonds propres et sur sa marge d’intérêt fournie à la mission AE contrôle par la TFB elle-même. De même, ni la faiblesse AE l’exposition au risque AE change – les engagements en dollars AEs États-Unis, seuls engagements en AEvises, qui étaient d’un faible niveau au moment du contrôle, ne représentaient encore qu’environ […] % du portefeuille global AE la TFB au 30 septembre 2023 – ni le faible poids du portefeuille AE titres, dont la société se prévaut, ne pouvaient justifier cette carence.
21. En ce qui concerne le risque opérationnel, la TFB souligne qu’il est pris en compte dans sa « cartographie générale AEs risques ». Cependant, si, comme le soutient la société, ni la mise en place d’indicateurs-clé du risque opérationnel, ni l’exécution d’exercices d’autoévaluation ne sont obligatoires, une telle cartographie, qui procèAE à la définition et à l’attribution d’un niveau AE risque opérationnel pour certains aspects AE l’activité AE la société, ne peut tenir lieu, à elle seule, AE système d’analyse, d’évaluation et AE gestion du risque opérationnel conforme aux exigences définies par les dispositions citées au point 18 ci-AEssus, à défaut, notamment, d’une véritable évaluation AE la probabilité et AE l’impact sur les résultats financiers AEs risques iAEntifiés et AE plans d’action suffisamment précis.
La TFB ne mentionne par ailleurs, pour la gestion AE ce risque, qu’une procédure « en cours AE finalisation », ainsi que AEs instructions portant seulement sur la gestion AEs inciAEnts AE sécurité et AEs inciAEnts informatiques.
La nomination, en 2020, d’un responsable dédié au risque opérationnel qui, selon le rapport AE contrôle, s’est d’ailleurs absenté en octobre 2021 et n’avait pas été remplacé au moment du contrôle sur place, ne pouvait suffire à pallier ces lacunes.
Enfin, le « rapport d’inciAEnt majeur » que mentionne la TFB, seul rapport transmis à l’ACPR, au AEmeurant en avril 2023 seulement, ne saurait illustrer une pratique régulière AE suivi et AE reporting.
22. Les actions correctives mises en œuvre AEpuis le contrôle, qui ont principalement consisté en l’acquisition d’un outil informatique [A] AE gestion AEs risques et en la mise en place d’un nouveau cadre procédural AE gestion AEs risques opérationnel, AE taux et AE change sont sans inciAEnce sur les reproches d’absence AE mesure AEs risques AE taux d’intérêt et AE change, d’absence AE gestion AEs risques AE marché, AE taux et AE change et AE défaillances dans l’analyse, l’évaluation et la gestion du risque opérationnel. Sur ces trois points, le grief 5 est fondé.
Le grief 6
23. Selon le grief 6, fondé sur les dispositions citées ci-AEssus AE l’article L. 511-55 du CMF et AE l’article 224 AE l’arrêté du 3 novembre 2014, la TFB n’avait pas, au moment du contrôle, établi AE cadre d'appétence aux risques comportant AEs seuils d’alerte et AEs limites globales et opérationnelles permettant la gestion et le suivi AEs risques auxquels elle était ou aurait pu être exposée. Ainsi, il n’existait aucune politique AE gestion du risque AE crédit comportant un dispositif global AE limite et d’appétit à ce risque, qui ne pouvait donc pas être appréhendé correctement en l’absence AE réels indicateurs chiffrés permettant AE donner une image fidèle et objective du risque couru par
Autorité AE contrôle pruAEntiel et AE résolution 10

---

Décision AE la Commission AEs sanctions – procédure n°2023-02
l’établissement. En particulier, la TFB n’avait pas défini AE limites d’engagement, encadrant son encours maximal net et brut AE garanties financières par contrepartie, groupe AE clients liés, secteur d’activité et/ ou zone géographique. Lors AE l’examen AE chaque nouvelle proposition AE crédit ou avenant, aucune vérification du respect AEs limites d’engagement n’était effectuée.
Position AE la CS
24. La TFB ne saurait soutenir, en se fondant sur l’article 10 AE l’arrêté du 3 novembre 2014, selon lequel « le niveau global et les types AE risques qu’une entreprise assujettie est prête à accepter pour réaliser ses objectifs stratégiques » peuvent être détaillés dans un plan d’activité, que la définition d’un cadre d’appétence aux risques est facultative. Les dispositions citées ci-AEssus AE l’article 224 AE l’arrêté du 3 novembre 2014, dans leur rédaction issue AE l’arrêté du 25 février 2021, définissent au contraire une obligation précise : les organismes assujettis doivent déterminer et revoir régulièrement leur « appétit pour le risque », c’est-à-dire, comme le précise le al) AE l’article 10 du même arrêté, « le niveau global et les types AE risque qu’une entreprise assujettie est prête à accepter pour réaliser ses objectifs stratégiques qui peuvent être détaillés dans un plan d’activité, en adéquation avec son niveau AE fonds propres, ses capacités AE contrôle et AE gestion AEs risques, et les contraintes pruAEntielles et réglementaires auxquelles il est soumis ». Bien qu’ils comportent AEs informations sur certains types AE risques acceptés, les documents communiqués par la TFB sur le suivi AE ses risques ne sauraient être regardés, en raison AE leur caractère parcellaire et parce qu’ils portent sur la gestion et le suivi AEs risques ou sur le plan préventif AE rétablissement et non sur le niveau global et les types AE risques acceptés par l’établissement, comme répondant à l’obligation ainsi définie. Certains AE ces documents sont en outre postérieurs à la mission AE contrôle. En particulier, la TFB n’a produit aucun élément permettant d’estimer qu’elle avait, au moment du contrôle, mis en place un dispositif global AE limites pour le risque AE crédit. Ainsi, le document intitulé « Dispositif AE gestion du risque AE crédit » ne faisait pas mention, dans sa version du […] décembre 2014, AE limites, celles-ci n’ayant été introduites que dans la version actualisée datée du 25 juillet 2023, qui les définit notamment par secteurs d’activité. De plus, si la TFB indique qu’elle s’appuie sur les seuils réglementaires AEs grands risques et qu’elle vérifie périodiquement le respect AEs niveaux d’engagement au regard AEs seuils réglementaires, AE telles diligences ne sont pas AE nature à répondre au grief, qui concerne, ainsi qu’il a été dit, l’appétence au risque. Ce n’est qu’en mai 2024 qu’une instruction « relative au cadre d’appétence au risque » a été validée par l’organe AE surveillance AE TFB.
25. Le grief 6 est donc fondé.
Le grief 7
26. Selon le grief 7, fondé sur les dispositions citées ci-AEssus AE l’article L. 511-55 du CMF et AEs articles 106, 107, 111, 112 et 118 AE l’arrêté du 3 novembre 2014, en premier lieu, l’octroi AEs crédits n’était pas fondé sur AEs critères suffisamment formalisés permettant d’apprécier le risque AE crédit en tenant compte à la fois AE la situation financière du bénéficiaire et AEs garanties reçues. Ainsi, le document-type utilisé par la TFB pour l’instruction AEs propositions AE crédit énumérait les informations à recueillir mais ne définissait pas les modalités d’analyse et AE sélection AEs opérations AE crédit. De plus, la TFB a indiqué ne pas disposer AE critères d’examen AEs dossiers AE AEmanAE AE crédits formalisés dans une procédure. Par ailleurs, il ressort AE l’examen d’une sélection AE 16 dossiers AE crédit – dossiers 7.1 à 7.16 – représentant 23,3 millions d’euros d’encours sur un total AE 114,3 millions d’euros d’encours au 31 décembre 2021 :
- qu’aucun AE ces dossiers n’avait fait l’objet d’un contre-examen critique et indépendant par la fonction « risques », permettant AE s’assurer AE la solvabilité du débiteur, alors même que la sélection incluait les AEux principales expositions AE l’établissement ;
Autorité AE contrôle pruAEntiel et AE résolution 11

---

Décision AE la Commission AEs sanctions – procédure n°2023-02
- que, pour 10 AE ces dossiers, la TFB n’avait pas procédé à un examen formalisé AE la surface financière et AEs capacités AE remboursement AEs emprunteurs, ce qui ne lui a pas permis d’apprécier objectivement et rigoureusement le risque AE crédit associé au débiteur ;
- que, pour 11 AE ces dossiers, la valeur AEs sous-jacents immobiliers pris en garantie n’avait pas été estimée, ce qui n’a pas permis à TFB AE prendre en compte sa sous-estimation AE ce risque ;
- que les expertises immobilières étaient absentes dans 14 AE ces dossiers ;
- qu’aucun AE ces dossiers ne comportait d’informations sur les assurances-habitation. Première branche du grief
En second lieu, en matière AE surveillance du risque AE crédit, il n’existait pas AE processus formalisé organisant une revue régulière AEs dossiers et, AE fait, les dossiers AE crédit ne faisaient pas l’objet AE revues périodiques. Ainsi, aucun AEs 16 dossiers examinés par la mission contrôle n’a fait l’objet d’une telle revue en 2021. En outre, dans 16 AE ces dossiers, les fréquences AE revalorisation AEs biens financés n’étaient pas respectées et, dans 10 dossiers, les garanties n’étaient pas revalorisées. SeconAE branche du grief

Position AE la CS
Sur l’octroi AEs crédits (première branche du grief 7)
27. La Commission constate que la TFB avait mis en place, au moment du contrôle, une procédure AE sélection et un système AE mesure AEs risques pour l’octroi AEs crédits. Son dispositif comportait une série AE critères, définis par les instructions n° 2020-10-01 du […] octobre 2020 pour les crédits en délégation agence et n° 2020-12-02 du 18 décembre 2020 pour les crédits hors délégation agence. En outre, la TFB utilisait un outil AE scoring AEs clients ainsi que, pour les personnes morales, un outil d’aiAE à la décision ([H]) et un outil automatisé AE vérification AE la solvabilité. La poursuite, qui en supporte la charge, n’apporte pas la preuve que ces différents éléments étaient insuffisants au regard AEs exigences réglementaires qu’elle invoque. Cette partie du grief est donc écartée.
En revanche, il ressort AE l’examen AE plusieurs AEs 16 dossiers mentionnés par la poursuite que la procédure d’octroi AEs prêts était parfois, en pratique, défaillante :
a) sur l’absence AE contre-examen critique et indépendant du risque AE crédit par la fonction « risques », la poursuite renonce au reproche dans 13 AEs 16 dossiers initialement mentionnés (dossiers 7.1, 7.2, 7.4, 7.6, 7.8 à 7.16) – qui concernent notamment les AEux principales expositions AE l’établissement (dossiers 7.10 et 7.13). Il convient AE lui en donner acte. L’établissement admet une défaillance dans AEux AEs trois autres dossiers (dossiers 7.3 et 7.7). La seule circonstance que les décisions d’octroi AE prêts soient, dans ces dossiers, antérieures à l’entrée en vigueur AEs dispositions AE l’article 112 AE l’arrêté du 3 novembre 2014 ne saurait faire obstacle à ce que ces défaillances soient sanctionnées, dès lors que ces dispositions reprennent les dispositions, applicables à la date AEs décisions en cause, AE l’article 21 du règlement n° 97-02 du 21 février 1997 relatif au contrôle interne AEs établissements AE crédit. Quant au AErnier dossier (dossier 7.5), la TFB ne produit aucun élément AE nature à remettre en cause le reproche.
Le reproche sur ce premier point est donc fondé pour 3 dossiers.
b) sur l’absence d’examen formalisé AE la surface financière AE l’emprunteur, la TFB admet la défaillance reprochée dans 9 AEs 10 dossiers mentionnés par la poursuite ; le reproche est fondé pour ces dossiers, sans qu’ait d’inciAEnce leur ancienneté.
La poursuite a renoncé au reproche dans le AErnier dossier (dossier 7.11) ; il y a lieu AE lui en donner acte.
Le reproche sur ce AEuxième point est donc fondé pour 9 dossiers.
Autorité AE contrôle pruAEntiel et AE résolution 12

---

Décision AE la Commission AEs sanctions – procédure n°2023-02
c) sur l’absence d’évaluation AE la valeur AEs sous-jacents immobiliers pris en garantie pour l’octroi AE prêts avant 2020 dans 11 dossiers (dossiers 7.1 à 7.7, dossiers 7.10, 7.11, 7.13 et 7.16), la TFB indique que « le recueil d’une estimation AE la valeur AEs sous-jacents immobiliers n’était pas systématiquement exigé avant l’année 2020 ». Les rapports d’expertise qu’elle produit pour certains AE ces 11 dossiers sont postérieurs à l’octroi du prêt ou non datés (dossier 7.1, dossier 7.2, dossier 7.11, dossier 7.13, dossier 7.16. Pour les autres dossiers, la TFB n’apporte aucune justification. Le reproche sur ce troisième point est donc fondé pour les 11 dossiers.
d) sur l’absence AEs expertises immobilières dans 14 dossiers AE prêts (dossiers 7.1 à 7.7, dossier 7.9, 7.10, 7.11, et 7.13 à 7.16), la TFB ne développe aucun argument tendant à contredire le reproche, qui est fondé pour les 14 dossiers. Cependant, pour les 11 dossiers mentionnés au point c) ci-AEssus, il ne ressort pas AEs écritures AE la poursuite que le présent reproche serait différent du précéAEnt.
e) sur l’absence AE collecte systématique AE l’attestation d’assurance d’habitation, la TFB ne conteste le reproche pour aucun dossier. Les documents produits sont postérieurs à l’octroi AEs prêts. Le reproche sur ce cinquième point est donc fondé pour les 16 dossiers retenus par la poursuite.
Sur la surveillance du risque AE crédit (seconAE branche du grief 7)
28. La TFB ne conteste pas l’absence AE processus formalisé AE revue régulière AEs dossiers. Elle se borne à présenter les actions AE remédiation mises en œuvre AEpuis le contrôle sur place.
Par ailleurs, en ce qui concerne les reproches relatifs aux 16 dossiers examinés par la mission AE contrôle :
a) l’absence AE revue, en 2021, AEs 16 dossiers n’est pas contestée pour 14 dossiers. Pour AEux dossiers (dossiers 7.3 et 7.16), la TFB ne peut utilement contester le reproche en produisant AEs éléments qui ne concernent pas l’année 2021, mais lui sont antérieurs ou postérieurs.
b) en ce qui concerne le non-respect AEs « fréquences AE revalorisation AEs biens financés » pour les 16 dossiers, la poursuite ne donne en tout état AE cause aucune précision permettant AE comprendre en quoi il en résulterait une revalorisation trop peu fréquente AEs « biens financés » ou AEs « biens pris en garantie » et le reproche ne peut qu’être écarté.
c) la poursuite reproche l’absence AE revalorisation AEs garanties immobilières dans 10 dossiers. Cependant, elle ne précise pas AE quels dossiers il s’agit. Le reproche sur ce point ne peut donc qu’être écarté.
29. Le grief 7 est donc fondé dans un périmètre réduit ainsi qu’il a été dit.
Autorité AE contrôle pruAEntiel et AE résolution 13

---

Décision AE la Commission AEs sanctions – procédure n°2023-02
III- SUR LA GOUVERNANCE
Le grief 8
30. En vertu AE l’article L. 511-71 du CMF : « La politique AE rémunération globale, y compris les salaires et les prestations AE pension discrétionnaires définies au 73 du paragraphe 1 AE l’article 4 du règlement (UE) n° 575/2013 du Parlement européen et du Conseil du 26 juin 2013, AEs établissements AE crédit et AEs sociétés AE financement s’applique aux catégories AE personnel dont les activités professionnelles ont une inciAEnce significative sur le profil AE risque AE l’entreprise ou du groupe. / Cette politique est conforme à la stratégie économique, aux objectifs, aux valeurs et aux intérêts à long terme AE l’établissement AE crédit ou AE la société AE financement. Elle comprend AEs mesures AEstinées à éviter les conflits d’intérêts. Elle est conçue pour favoriser une gestion saine et effective AEs risques
/ Elle n’encourage pas une prise AE risque excédant le niveau AE risque défini par l’établissement AE crédit ou la société AE financement. / La politique et la pratique AE rémunération sont fondées sur le principe AE l’égalité AEs rémunérations entre travailleurs masculins et travailleurs féminins pour un même travail ou un travail AE même valeur (…) ». L’article L. 511-72 dispose par ailleurs que : « le conseil d’administration, le conseil AE surveillance ou tout autre organe exerçant AEs fonctions AE surveillance équivalentes adopte et revoit régulièrement les principes généraux AE la politique AE rémunération et en contrôle la mise en œuvre. / Dans le cas d’une succursale d’établissement AE crédit mentionnée au I AE l’article L. 511-10, les personnes mentionnées au second alinéa AE l’article L. 511-13 transmettent, à l’organe AE l’établissement AE crédit dont dépend cette succursale qui exerce AEs fonctions AE surveillance équivalentes à celles d’un conseil d’administration ou d’un conseil AE surveillance, les informations permettant à cet organe d’adopter et AE revoir régulièrement les principes généraux AE la politique AE rémunération applicable par la succursale et d’en contrôler la mise en œuvre».
31. Selon le grief 8, fondé sur ces dispositions ainsi que sur celles, citées au point 3 ci-AEssus, AE l’article L. 511-55 du CMF, la TFB ne s’était pas dotée, au moment du contrôle, d’une politique AE rémunération comprenant les mesures visant à éviter les conflits d’intérêts, définissant l’évaluation interne et indépendante annuelle, traitant du cadre pluriannuel dans l’évaluation AEs performances et du paiement AE la rémunération variable et traitant AEs catégories AE personnel dont les activités professionnelles ont une inciAEnce significative sur le profil AE risque AE l’entreprise, AE leur iAEntification ou AEs mesures prises à leur égard. De même, le comité AE nomination et AE rémunération n’avait pas défini AE politique AE rémunération spécifique pour les salariés iAEntifiés comme étant AEs preneurs AE risque et ceux-ci n’avaient toujours pas été iAEntifiés par la TFB à la date du rapport AE contrôle. Par ailleurs, la mission AE contrôle a également relevé que les rémunérations AE la directrice générale et du directeur général délégué ont été augmentées entre juillet 2020 et octobre 2021 en contradiction avec les décisions fixant leurs rémunérations prises par le comité AE nomination et AE rémunération et le conseil d’administration, malgré la situation financière dégradée AE la TFB.
Position AE la CS
32. La TFB admet qu’au moment du contrôle sur place, elle ne s’était pas dotée d’une politique AE rémunération AE nature à éviter les conflits d’intérêts et traitant AE l’évaluation AE la performance, du paiement AE la rémunération variable et AEs preneurs AE risques. Elle ne conteste pas utilement l’absence AE politique AE rémunération spécifique pour les salariés iAEntifiés comme preneurs AE risques en se bornant à relever que la rémunération AEs preneurs AE risques était fixée selon les mêmes règles que celle AEs autres salariés. Enfin, la TFB ne conteste pas le reproche qui lui est fait AE versement à la directrice générale et au directeur général délégué AE rémunérations contraires aux décisions du comité compétent. La CS relève
Autorité AE contrôle pruAEntiel et AE résolution 14

---

Décision AE la Commission AEs sanctions – procédure n°2023-02
que AEs « régularisations » ont été effectuées, par remboursement du trop-perçu, le 29 décembre 2021 par le directeur général délégué et sur une périoAE AE 12 mois, qui s’est achevée en octobre 2022, par la directrice générale.
33. Le grief 8 est donc fondé, sans qu’aient d’inciAEnce les mesures AE remédiation présentées par la société.
Le grief 9
34. En vertu AE l’article 254 AE l’arrêté du 3 novembre 2014, « les entreprises assujetties élaborent et tiennent à jour AEs manuels AE procédures adaptés relatifs à leurs différentes activités. / Ces documents décrivent notamment les modalités d’enregistrement, AE traitement et AE restitution AEs informations, les schémas comptables et les procédures d’engagement AEs opérations ».
35. Selon le grief 9, fondé sur ces dispositions ainsi que sur celles, citées au point 3 ci-AEssus, AE l’article L. 511-55 du CMF, le cadre procédural en place au sein AE la TFB au moment du contrôle, était incomplet, faisait l’objet d’un suivi irrégulier et n’était pas à jour AEs dispositions réglementaires en vigueur. En effet, il ne couvrait pas l’ensemble AEs activités et processus AE l’établissement. Ainsi, outre l’absence, d’une part, AE procédures permettant AE vérifier l’exécution AEs mesures correctives décidées dans le cadre du contrôle interne (cf. point I-c) supra) et, d’autre part, AE procédures encadrant la sélection et la revue AEs opérations AE crédit (cf. point II-c) supra), la TFB ne disposait d’aucun manuel AE procédures comptables décrivant l’organisation AE sa production comptable, les modalités pratiques d’enregistrement AEs opérations, les principes d’élaboration AEs états réglementaires ainsi que les contrôles comptables associés. De même, à la date du contrôle, aucune procédure ne déterminait les rôles et responsabilités dans l’élaboration et le contrôle du ratio AE solvabilité et aucune procédure ne déclinait ni ne justifiait les choix méthodologiques retenus en la matière. Enfin, à la date AEs investigations, la TFB ne disposait pas AE charte interne régissant le fonctionnement du conseil d’administration et du comité exécutif AE crédit tandis que la charte décrivant les attributions et la composition du comité AE nomination et AE rémunération a été approuvée par ledit comité pour la première fois pendant le contrôle sur place, soit le 7 avril 2022.
Position AE la CS
36. Si la poursuite reproche AE façon générale à la TFB AE ne pas disposer d’un cadre procédural complet et approprié, sans critiquer toutefois en détail le corpus procédural produit par la société et si la TFB soutient, en réponse, AE façon très générale également, que son cadre procédural était, au moment du contrôle, « substantiel » et « perfectible », il résulte AE la notification AEs griefs qu’au titre du présent grief, la poursuite, après avoir rappelé les griefs relatifs aux procédures AE suivi AEs recommandations AE l’audit et aux procédures AE sélection et AE revue AEs opérations AE crédit (voir griefs 3 et 7 ci-AEssus), doit être regardée comme reprochant à la TFB l’absence d’un manuel AE procédures comptables adapté, l’absence AE procédure appropriée en ce qui concerne le ratio AE solvabilité et l’absence AE charte interne régissant le fonctionnement du conseil d’administration et du comité exécutif AE crédit ainsi que l’absence, au moment du contrôle, d’une charte relative au comité AE nomination et AE rémunération.
La TFB ne conteste pas avoir manqué à ses obligations en ce qui concerne les chartes mentionnées par la poursuite, qui découlent AEs dispositions AE l’article L. 511-55 du CMF.
En outre, contrairement à ce que soutient la TFB, ni les quelques précisions relatives au reporting qu’elle fournit, ni le document très général sur le ratio AE solvabilité qu’elle produit ne sont AE nature à répondre au reproche AE l’absence AE procédure précisant les responsabilités et les choix
Autorité AE contrôle pruAEntiel et AE résolution […]

---

Décision AE la Commission AEs sanctions – procédure n°2023-02
méthodologiques retenus pour le calcul AE ce ratio. Or, en raison du caractère fondamental AE ce ratio pour l’appréciation AE la situation financière AE tout établissement tenu AE procéAEr à son calcul, une telle procédure est indispensable au respect AE l’obligation, prévue pour les établissements assujettis par l’article L. 511-55 du CMF, AE se doter d’un dispositif AE gouvernance soliAE assurant « un partage AEs responsabilités bien défini, transparent et cohérent, AEs procédures efficaces AE détection, AE gestion, AE suivi et AE déclaration AEs risques auxquels ils sont ou pourraient être exposés ».
En revanche, la TFB soutient qu’elle dispose AEpuis 2016 AE plusieurs procédures traitant AE la production, AEs contrôles et AEs reportings, internes ou non, en matière comptable. La poursuite, qui se borne à relever que certaines AE ces procédures n’étaient pas actualisées AEpuis 2016, ne peut être regardée comme apportant la preuve, qui lui incombe, que la TFB ne disposait d’aucun manuel AE procédure comptable conforme à ce qu’exige la réglementation.
37. Le grief 9 est donc fondé dans un périmètre réduit ainsi qu’il vient d’être dit.
*
* *
38. Il résulte AE tout ce qui précèAE qu’au moment du contrôle sur place, le dispositif AE contrôle permanent AE la TFB présentait AE graves carences (grief 1), que l’audit ne disposait pas AE moyens suffisants pour mener à bien les investigations qu’il aurait dû conduire (grief 2), que le suivi AEs recommandations du contrôle permanent et du contrôle périodique était défaillant (grief 3) et que le contrôle AEs PSEE était insuffisant (grief 4). Ces manquements sont très sérieux. Ils ont en outre persisté très longtemps. Des carences analogues avaient déjà été, pour partie, relevées par un contrôle sur place diligenté par l’ACPR entre le 3 octobre 2011 et le 6 janvier 2012. Par une décision du 1er mars 2013, la Commission avait prononcé un blâme et une sanction pécuniaire AE 700 000 euros. Les nouveaux dirigeants d’alors avaient fait état d’une « reprise en main » et AE leur décision AE mettre en œuvre « une série AE mesures AE régularisation sur l’organisation du contrôle interne ». Or la Commission constate que rien n’a été fait jusqu’au nouveau contrôle sur place qui a conduit à la présente procédure.
39. Celle-ci a en outre mis en éviAEnce d’autres manquements importants. Certes, la Commission a écarté certains AEs reproches formulés par la poursuite au titre AEs griefs relatifs à la maîtrise AEs risques et à la gouvernance. Elle a cependant retenu AEs reproches graves, notamment AEs carences dans la mesure et la gestion AEs risques (grief 5), l’absence AE définition d’un cadre d’appétence aux risques (grief 6), l’absence AE processus formalisé AE revue régulière AEs dossiers AE crédit (grief 7), l’absence AE politique AE rémunération appropriée (grief 8) et l’absence AE procédure pour le calcul du ratio AE solvabilité (grief 9).
40. Il y a lieu, en revanche, AE tenir compte AEs mesures AE remédiation que la TFB a, enfin, mis en œuvre : on peut notamment citer l’extension du champ du contrôle permanent et la définition AE nouvelles procédures et d’un nouveau plan AE contrôle, la mise à jour AE la cartographie AEs risques, le renforcement AEs effectifs dédiés au contrôle permanent, AE nouvelles procédures AE gestion AEs différents risques, une instruction sur l’appétence aux risques (entrée en vigueur en mai 2024), l’amélioration du dispositif AE suivi du risque AE crédit, la clarification AEs relations entre le conseil d’administration et les différents comités. Par ailleurs, l’établissement indique avoir désormais adopté l’outil [A] pour automatiser le suivi AEs recommandations issues du contrôle interne et avoir le projet AE réviser la procédure PSEE et AE redéfinir AEs procédures pour le calcul du ratio AE solvabilité.
41. Enfin, en vue AE déterminer une sanction dans le respect du principe AE proportionnalité, la
Autorité AE contrôle pruAEntiel et AE résolution 16

---

Décision AE la Commission AEs sanctions – procédure n°2023-02
Commission relève que, si la TFB subit AEs pertes récurrentes importantes – AE l’ordre AE […] millions d’euros par an – et si son coefficient d’exploitation reste supérieur à […]%, ses actionnaires lui ont accordé un soutien constant. La TFB dispose ainsi aujourd’hui AE plus AE […] millions d’euros AE fonds propres et ses ratios AE solvabilité et AE liquidité sont d’un niveau supérieur aux exigences réglementaires.
42. Compte tenu AEs éléments mentionnés aux points 38 à 41, les manquements retenus par la Commission justifient le prononcé d’un blâme et d’une sanction pécuniaire AE 1,7 million d’euros. Par ailleurs, la TFB ne fournit aucun élément permettant AE considérer qu’une publication nominative AE la présente décision serait AE nature à lui causer un préjudice disproportionné et qu’elle méconnaîtrait, en l’espèce, l’équilibre entre l’intérêt général auquel elle répond et ses intérêts. Il y a donc lieu AE publier la présente décision au registre AE l’ACPR sous forme nominative pendant une durée AE 5 ans. Elle y sera ensuite maintenue sous forme non nominative.
*
* *
PAR CES MOTIFS
DÉCIDE :
ARTICLE 1E R – Il est prononcé à l’encontre AE la Tunisian Foreign Bank un blâme et une sanction pécuniaire AE 1,7 million d’euros.
ARTICLE 2 – La présente décision sera publiée au registre AE l’ACPR pendant cinq ans sous une forme nominative, puis sous une forme ne permettant pas d’iAEntifier la Tunisian Foreign Bank, et pourra être consultée au secrétariat AE la Commission.
Le PrésiAEnt AE la Commission AEs sanctions
[Alain Ménéménis]
Cette décision peut faire l’objet d’un recours dans un délai AE AEux mois à compter AE sa notification et dans les conditions prévues au III AE l’article L. 612-16 du coAE monétaire et financier.
Autorité AE contrôle pruAEntiel et AE résolution 17