Les dispositions du titre V de l'arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque, des services de paiement et des services d'investissement soumises au contrôle de l'Autorité de contrôle prudentiel et de résolution sont ainsi modifiées :
1° L'article 218 est abrogé;
2° L'article 221 est remplacé par un article ainsi rédigé :
« Art. 221.-Les entreprises assujetties définissent des politiques d'approbation des nouveaux produits et changements significatifs recouvrant :
« a) Les nouveaux produits et services ;
« b) Les changements significatifs, pour cette entreprise ou pour le marché, à un produit, service ou processus existant et leurs systèmes associés ;
« c) Les opérations de croissance interne et externe ;
« d) Les transactions exceptionnelles.
« Les entreprises assujetties mettent en place des systèmes et procédures assurant une analyse à la fois en amont et prospective des risques encourus lorsqu'elles décident de réaliser des opérations relatives à des nouveaux produits ou des changements significatifs listées au premier alinéa.
« La fonction de gestion des risques produit, le cas échéant, une évaluation des risques selon des scénarios appropriés au regard de la significativité des risques induits par ces opérations. » ;
3° A l'article 224, les mots : « Les limites globales de risques » sont remplacés par les mots :
« L'appétit pour le risque ainsi que les limites globales de risques qui en résultent » ;
4° A l'article 225, les mots : « les limites globales mentionnées » sont remplacés par les mots : « les limites globales et l'appétit pour le risque mentionnés » ;
5° Au début de l'article 232, un alinéa ainsi rédigé est inséré :
« Les entreprises assujetties informent l'Autorité de contrôle prudentiel et de résolution en cas de conclusion d'un contrat d'externalisation portant sur des prestations de services ou d'autres tâches opérationnelles essentielles ou importantes ou lorsqu'une activité externalisée est devenue une prestation de service ou une tâche opérationnelle essentielle ou importante en lui adressant, une fois par an, une extraction du registre mentionné à l'article 238. » ;
6° A l'article 238 :
a) Avant le a, un alinéa ainsi rédigé est inséré :
« a) Donne lieu à une évaluation du risque encouru préalablement à la signature du contrat ; » ;
b) Le a devient b, le b devient c et le c devient d ;
c) Un alinéa ainsi rédigé est ajouté :
« Les entreprises assujetties tiennent et mettent à jour un registre des dispositifs d'externalisation en vigueur en distinguant les dispositifs d'externalisation portant sur des prestations de services ou des tâches opérationnelles essentielles ou importantes et les dispositifs d'externalisation d'autres activités ».