Le règlement n° 97-02 susvisé est ainsi modifié :
1. Est inséré un article 17 ter ainsi rédigé :
« Art. 17 ter. - Les systèmes d'analyse et de mesure des risques prévus à l'article 17 doivent prévoir les critères et seuils permettant d'identifier comme significatifs les incidents révélés par les procédures de contrôle interne au sens de l'article L. 511-41 du code monétaire et financier. Ces critères doivent être adaptés à l'activité de l'établissement et couvrir les risques de perte, y compris lorsque celle-ci ne s'est pas matérialisée.
« Est réputée à cet effet significative toute fraude entraînant une perte ou un gain d'un montant brut dépassant 0,5 % des fonds propres de base. Ce montant ne peut être inférieur à dix mille euros. »
2. Le titre VI est renommé : « Rôle des organes exécutif et délibérant de l'entreprise assujettie et de la Commission bancaire ».
a) L'article 38 est ainsi rédigé :
« Art. 38. - La responsabilité de s'assurer que l'entreprise assujettie se conforme à ses obligations au titre du présent règlement incombe à l'organe exécutif et à l'organe délibérant.
« En particulier, l'organe exécutif et l'organe délibérant disposent des informations pertinentes sur l'évolution des risques encourus par l'entreprise assujettie. Ils sont tenus d'évaluer et de contrôler périodiquement l'efficacité des politiques, des dispositifs et des procédures mis en place pour se conformer au présent règlement et prendre les mesures appropriées pour remédier aux éventuelles défaillances. »
b) Il est inséré après l'article 38 trois articles 38-1, 38-2 et 38-3 ainsi rédigés :
« Art 38-1. ― L'organe délibérant arrête, le cas échéant sur avis de l'organe central de l'entreprise assujettie, les critères et seuils de significativité mentionnés à l'article 17 ter du présent règlement permettant d'identifier les incidents devant être portés à sa connaissance.
« Les incidents significatifs au regard des critères et seuils mentionnés à l'article 17 ter doivent être portés sans délai à la connaissance de l'organe exécutif et de l'organe délibérant ainsi que, le cas échéant, de l'organe central de l'entreprise assujettie.
« Art. 38-2. - Les établissements assujettis font parvenir à la Commission bancaire les critères et seuils mentionnés à l'article 17 ter et arrêtés par l'organe délibérant.
« La Commission bancaire vérifie la pertinence des critères et seuils retenus au regard de la situation de l'établissement et l'application qui en est faite. Lorsque la situation de l'établissement le justifie, elle peut, en application de l'article L. 613-16, demander à un établissement de revoir ces critères et seuils ainsi que les modalités de leur mise en œuvre.
« L'organe exécutif est chargé de transmettre sans délai à la Commission bancaire les incidents significatifs au regard des critères et seuils mentionnés à l'article 17 ter et arrêtés par l'organe délibérant.
« Art. 38-3. - Pour les entreprises assujetties qui font partie d'un groupe financier, d'un groupe mixte ou d'un conglomérat financier, les seuils et critères de significativité ainsi que les obligations prévus aux articles 38-1 et 38-2 sont définis et mis en œuvre par les organes délibérant et exécutif compétents au niveau du ou des périmètres sur lesquels la Commission bancaire exerce le contrôle des exigences de fonds propres prévues par l'arrêté du 20 février 2007 ou la surveillance complémentaire dans les conditions prévues par le règlement n° 2000-03. »
Les mêmes entreprises appliquent toutefois l'article 38-1 sur une base individuelle.
c) L'article 39 est ainsi rédigé :
« Art. 39. - Au moins deux fois par an, l'organe délibérant procède à l'examen de l'activité et des résultats du contrôle interne, notamment du contrôle de la conformité sur la base des informations qui lui sont transmises à cet effet par l'organe exécutif et par les responsables mentionnés aux articles 7 et 11 et des incidents significatifs révélés par les procédures de contrôle interne en application de l'article 38-1.
« L'organe exécutif informe régulièrement, au moins une fois par an, l'organe délibérant et, le cas échéant, le comité d'audit :
« a) Des éléments essentiels et des enseignements principaux qui peuvent être dégagés des mesures de risques auxquels l'entreprise assujettie et, le cas échéant, le groupe sont exposés, notamment les répartitions prévues à l'article 18 ainsi que l'analyse des opérations de crédit prévue à l'article 20 et la surveillance du risque de non-conformité ;
« b) Des mesures prises pour assurer la continuité de l'activité et l'appréciation portée sur l'efficacité des dispositifs en place ;
« c) Des mesures prises pour assurer le contrôle des activités externalisées et des risques éventuels qui en résultent pour l'entreprise assujettie ; "les prestations de services ou autres tâches opérationnelles essentielles ou importantes” (arrêté du 2 juillet 2007) relevant des trois premiers tirets de l'article 4 r doivent être distinguées dans ces opérations.
« Lorsque l'organe délibérant n'est pas associé à la fixation des limites, l'organe exécutif informe celui-ci et, le cas échéant, le comité d'audit des décisions prises en la matière, et il l'informe régulièrement, au moins deux fois par an, des conditions dans lesquelles les limites fixées sont respectées.
« Lorsqu'il existe un comité d'audit distinct de l'organe délibérant, l'information et l'examen prévus par le présent article peut n'avoir lieu qu'une fois par an. »
d) Les deux derniers alinéas de l'article 44 sont abrogés.