La partie règlementaire (décrets simples) du code de la sécurité sociale est ainsi modifié :
1° La section 2 du chapitre 4 bis du titre 1er du livre 1er devient la section 1 du chapitre 4 ter du titre 1er du livre 1er ;
2° L'article D. 114-4-6 est ainsi modifié :
a) Le premier alinéa est remplacé par les dispositions suivantes :
« Le dispositif national de contrôle interne met en œuvre une stratégie de maîtrise des risques adaptée aux enjeux de gestion, notamment de renforcement de la qualité et de la performance, propres aux activités de l'organisme, du régime ou de la branche. Cette stratégie est déterminée en cohérence avec les objectifs définis dans les conventions d'objectifs et de gestion conclues avec l'autorité compétente de l'Etat. » ;
b) Au deuxième alinéa, les mots : « aux organismes constitutifs d'un même réseau » sont remplacés par les mots : « à l'organisme national et, le cas échéant, aux autres organismes constitutifs du réseau » ;
c) Au troisième alinéa, après le mot : « interne », est inséré le mot : « a » ;
d) Au quatrième alinéa, après le mot : « conformité », sont insérés les mots : « des opérations » ;
e) Le cinquième alinéa est complété par les mots : « par l'organisme » ;
f) Après le onzième alinéa, est inséré un alinéa ainsi rédigé :
« 1° Conception, mise en œuvre et pilotage conjoints du contrôle interne par le directeur et le directeur comptable et financier ; »
g) Le douzième alinéa, qui devient le treizième, est ainsi modifié :
-le 1° devient le 2° ;
-il est complété par les mots : « applicable à l'ensemble des activités de l'organisme national et, le cas échéant, aux autres organismes constitutifs du réseau ; »
h) Le treizième alinéa, qui devient le quatorzième, est supprimé ;
i) Le quatorzième alinéa est remplacé par les dispositions suivantes :
« 3° Evaluation et hiérarchisation des risques, sur la base d'une analyse partagée de l'ensemble des activités et processus de gestion ; »
j) Après le quatorzième alinéa, sont insérés deux alinéas ainsi rédigés :
« 4° Définition de la stratégie de contrôle en fonction de la criticité de ces risques et des enjeux ;
« 5° Définition des plans d'action en fonction des résultats des contrôles ; »
k) Les quinzième à dix-septième alinéas, numérotés de 4° à 6°, deviennent respectivement les dix-septième à dix-neuvièmes, numérotés de 6° à 8° ;
l) Le seizième alinéa, qui devient le dix-huitième, est remplacé par les dispositions suivantes :
« 7° Documentation périodique des organisations, des procédures et des risques ; »
m) Après le dix-septième alinéa, qui devient le dix-neuvième, sont insérés quatre alinéas ainsi rédigés :
« Pour l'application des dispositions de l'article L. 114-8-1, les organismes nationaux définissent, par instruction, la coordination des rôles respectifs du directeur et du directeur comptable et financier dans la conception et la mise en place du dispositif de contrôle interne.
« Cette coordination répond aux principes suivants :
«-le directeur et le directeur comptable et financier sont chargés d'assurer, dans le fonctionnement de l'organisme, une organisation adaptée aux actions de contrôle. Dans le cadre de la conception, de la mise en œuvre et du pilotage conjoints des dispositifs de contrôle interne, ils s'assurent de la maîtrise des processus d'activités de l'organisme dans leur ensemble, et de l'organisation d'actions de supervision, contrôles et autres moyens intégrés au fonctionnement courant des services garantissant cette maîtrise ;
«-le directeur comptable et financier, en sus des vérifications auxquelles il est tenu en application des dispositions réglementaires, s'assure de la maîtrise des processus comptables et financiers de l'organisme. » ;
n) Le dix-huitième alinéa, qui devient le vingt-quatrième, est remplacé par les dispositions suivantes :
« Le directeur et le directeur comptable et financier définissent, à partir d'une cartographie des risques établie dans les conditions prévues à l'article D. 114-4-7, tous les moyens mis en œuvre afin d'assurer la couverture des risques liés aux activités du régime ou de la branche ainsi que la couverture des risques liés aux opérations effectuées pour leur compte par des organismes délégataires ou des organismes bénéficiant de leur concours financier, y compris les actions de contrôle et de supervision. Les organismes délégataires mettent en place, pour les opérations effectuées pour le compte de la branche ou du régime, des dispositifs de maitrise des risques au titre des activités qui leur sont confiées. » ;
o) Au dix-neuvième alinéa, qui devient le vingt-cinquième, les mots : « Le dispositif national de contrôle interne définit, par des instructions et des procédures nationales, » sont remplacés par les mots : « Des instructions et des procédures nationales définissent », les mots : « aux autres organismes éventuellement » sont remplacés par les mots : « le cas échéant aux autres organismes » et après le mot : « réseau », sont insérés les mots : «, notamment ceux » ;
p) Le dernier alinéa est supprimé ;
3° L'article D. 114-4-7 est ainsi modifié :
a) Le I est remplacé par les dispositions suivantes :
« I.-Le directeur et le directeur comptable et financier établissent une cartographie nationale des risques constituée :
«-d'une identification de l'ensemble des risques, y compris liés à la fraude, de l'organisme national et le cas échéant des autres organismes constitutifs du réseau. Les risques sont identifiés à partir de l'examen des processus d'activité, de l'évaluation des risques afférents et de la cartographie des systèmes d'information mentionnée à l'article D. 114-4-10. Cette analyse des risques est actualisée, en tant que de besoin, notamment en cas de changements pouvant avoir un impact significatif sur le dispositif de contrôle interne, et au moins tous les trois ans ;
«-d'une identification, au sein de ces risques, des risques majeurs de toute nature, compris entre dix et trente, dont les risques financiers auxquels l'organisme national et le cas échéant les autres organismes constitutifs du réseau sont exposés, qui font l'objet d'un suivi particulier en raison de leur criticité. Cette sélection est actualisée, en tant que de besoin, notamment en cas de changements pouvant avoir un impact significatif sur le dispositif de contrôle interne, et au moins tous les trois ans. » ;
b) Le II est ainsi modifié :
-le premier alinéa est remplacé par les dispositions suivantes :
« II.-Le directeur et le directeur comptable et financier définissent conjointement un plan national de contrôle interne, opposable le cas échéant aux autres organismes constitutifs du réseau. Ce plan intègre notamment, en réponse aux risques financiers majeurs, les vérifications auxquelles le directeur comptable et financier est tenu en application des dispositions réglementaires, notamment celles prévues aux articles D. 122-1 à D. 122-4 et aux articles D. 122-8 et D. 122-9. » ;
-au deuxième alinéa, les mots : « Le plan » sont remplacés par les mots : « Ce plan » et le mot : « annuel » est remplacé par le mot : « unique » ;
-le troisième alinéa est remplacé par deux alinéas ainsi rédigés :
«-précise les objectifs de maîtrise des risques, les actions de maîtrise des risques associées ainsi que les axes de contrôle prioritaires pour les services placés respectivement sous la responsabilité du directeur et du directeur comptable et financier ;
«-tient compte des actions de lutte contre la fraude externe et la fraude interne ; »
-au dernier alinéa, les mots : « l'effectivité » sont remplacés par les mots : « la mise en œuvre effective » ;
-le même II est complété par six alinéas ainsi rédigés :
«-détermine les modalités d'analyse des résultats des contrôles et des indicateurs, ainsi que d'identification des principales causes d'erreurs ou d'anomalies par catégorie d'opérations. Le plan national de contrôle interne précise les conditions de définition et de suivi des actions permettant de réduire ces anomalies à la source ou, à défaut, de les détecter et les corriger.
« En vue d'assurer l'efficacité et l'efficience du dispositif de maîtrise des risques, le directeur et le directeur comptable et financier s'assurent de la coordination des actions de contrôle et de supervision mises en œuvre par leurs services.
« Le directeur et le directeur comptable et financier diligentent les contrôles de manière à proportionner leur fréquence, leur périodicité et leur périmètre aux enjeux associés.
« La notion de risque financier résiduel et les indicateurs utilisés pour le mesurer sont déterminés en fonction de la nature des activités de l'organisme. Ces indicateurs doivent permettre, le cas échéant, de distinguer les risques liés aux données déclarées de ceux résultant de la mise en œuvre des opérations internes à l'organisme.
« En fonction, le directeur et le directeur comptable et financier se répartissent les travaux de fiabilité et de mise en œuvre de la mesure du risque financier résiduel.
« La période couverte par les contrôles prévus au plan national de contrôle interne peut être adaptée aux besoins spécifiques de production et d'analyse des indicateurs de suivi de l'efficacité du contrôle interne. Cette période peut correspondre à douze mois glissants, en cohérence avec le plan de contrôle. » ;
4° L'article D. 114-4-8 est remplacé par les dispositions suivantes :
« Art. D. 114-4-8.-Dans l'organisation de la gestion des activités relevant de leurs compétences respectives, le directeur et le directeur comptable et financier vérifient que la séparation des tâches entre les agents est assurée et adaptée aux besoins de maîtrise des risques, notamment à la couverture des risques de fraudes.
« La séparation des tâches mentionnée au premier alinéa s'entend comme un partage des rôles assurant qu'un même agent ne cumule pas des opérations d'engagement et de paiement de la dépense, ni ne cumule, pour un processus donné, les tâches d'exécution d'une opération et de contrôle de cette même opération. » ;
5° Au deuxième alinéa de l'article D. 114-4-9, les mots : « Ce dispositif tient compte, le cas échéant, des » sont remplacés par les mots : « Le directeur et le directeur comptable et financier veillent à la cohérence de l'articulation de ce dispositif avec les » ;
6° L'article D. 114-4-12 est ainsi modifié :
a) Après le premier alinéa, il est inséré un alinéa ainsi rédigé :
« Pour l'établissement du cahier des charges des applications, les risques d'erreurs dans la mise en œuvre des opérations sont pris en compte afin de concevoir des contrôles automatisés de façon appropriée. » ;
b) Au deuxième alinéa, qui devient le troisième, les mots : « Le directeur et l'agent comptable » sont remplacés par les mots : « Pour la validation des applications, le directeur et le directeur comptable et financier » ;
c) Le cinquième alinéa, qui devient le sixième, est remplacé par les dispositions suivantes :
« 3° De l'exactitude des traitements de liquidation des prestations, des cotisations et contributions sociales, et des autres prélèvements » ;
d) Au septième alinéa, qui devient le huitième, les mots : « en lien avec la cartographie des risques » sont remplacés par les mots : « au regard des risques identifiés dans les cartographies mentionnées aux articles D. 114-4-7 et D. 114-4-20, y compris des risques d'erreur liés aux opérations réalisées par les agents » ;
e) A la troisième phrase du dixième alinéa, qui devient le onzième, après le mot : « directeur », sont insérés les mots : « de l'organisme national » ;
7° Après l'article D. 114-4-15, il est inséré un article D. 114-4-15-1 ainsi rédigé :
« Art. D. 114-4-15-1.-Le directeur et le directeur comptable et financier établissent un tableau de bord sur la base des résultats du contrôle interne. Ce tableau de bord de contrôle interne est établi une fois par an, sur une situation arrêtée au 30 juin de l'année en cours. Il présente une synthèse des résultats des actions mises en place pour lutter contre les risques majeurs, dont les risques financiers et de fraude, pour les activités gérées par l'organisme ou faisant l'objet d'une délégation. » ;
8° L'article D. 114-4-16 est ainsi modifié :
a) Au premier alinéa, le mois : « juin » est remplacé par le mois : « avril » ;
b) Le dernier alinéa est remplacé par les dispositions suivantes :
« Le rapport annuel de contrôle interne intègre, en sus du tableau de bord, pour les activités gérées par l'organisme et pour les activités déléguées, les informations essentielles au pilotage de la maîtrise des risques, dont : »
«-une information sur l'environnement de contrôle, ainsi que sur les moyens de maîtrise généraux mis en œuvre dans le cadre du contrôle interne y compris pour la lutte contre la fraude ;
«-une information sur les incidents majeurs, notamment informatiques, constatés au cours de l'année et les actions correctives apportées ;
«-des éléments d'analyse synthétiques sur les principales sources d'anomalies de portée financière et les conditions dans lesquelles les risques majeurs sont maîtrisés.
« Il prend notamment en compte, en fonction de la disponibilité des données, les résultats afférents aux objectifs fixés dans le cadre des conventions d'objectif et de gestion conclues avec l'Etat.
« Une synthèse du rapport annuel de contrôle interne est présentée au conseil d'administration lors de la séance qui approuve les comptes de l'organisme. » ;
9° L'article D. 114-4-20 est ainsi modifié :
a) Au premier alinéa, les mots : «, le cas échéant, selon une périodicité annuelle » sont remplacés par les mots : « selon les mêmes périodicités que celles mentionnées à l'article D. 114-4-7 » ;
b) Le deuxième alinéa est ainsi modifié :
-après le mot : « œuvre », est inséré le mot : « conjointement » ;
-les mots : « en cohérence avec le plan de contrôle annuel de l'agent comptable mentionné à l'article D. 122-8 » sont remplacés par les mots : «. Le plan de contrôle mis en œuvre intègre les vérifications auxquelles le directeur comptable et financier est tenu en application des dispositions réglementaires, notamment celles prévues aux articles D. 122-1 à D. 122-4 et aux articles D. 122-8 et D. 122-9. » ;
c) Au troisième alinéa, après le mot : « local », est inséré le mot : « unique » ;
d) Le quatrième alinéa est remplacé par les dispositions suivantes :
«-précise les objectifs de maîtrise des risques et l'objet des contrôles et des supervisions associés à effectuer au cours de l'exercice, dans le respect des axes de contrôle prioritaires définis nationalement, notamment en matière de liquidation des prestations, de recouvrement des cotisations et d'habilitations informatiques ; »
e) Après le quatrième alinéa, il est inséré un alinéa ainsi rédigé :
«-tient compte des actions de lutte contre la fraude externe et la fraude interne ; »
f) Au dernier alinéa, les mots : « l'effectivité » sont remplacés par les mots : « la mise en œuvre effective » ;
g) Il est complété par trois alinéas ainsi rédigés :
«-détermine les modalités d'analyse des résultats des contrôles et des indicateurs, ainsi que d'identification des principales causes d'erreurs ou d'anomalies par catégorie d'opérations. Il précise les conditions de définition et de suivi des actions permettant de réduire ces anomalies à la source ou, à défaut, de les détecter et les corriger.
« En vue d'assurer l'efficacité et l'efficience du dispositif de maîtrise des risques, le directeur et le directeur comptable et financier s'assurent de la coordination des actions de contrôle et de supervision mises en œuvre par leurs services.
« Dans l'organisation de la gestion des activités relevant de leurs compétences respectives, le directeur et le directeur comptable et financier vérifient que la séparation des tâches entre les agents dans les conditions définies à l'article D. 114-4-8 est assurée et adaptée aux besoins de maîtrise des risques, notamment à la couverture des risques de fraudes. » ;
10° Après l'article D. 114-4-20, il est inséré un article D. 114-4-20-1 ainsi rédigé :
« Art. D. 114-4-20-1.-Le directeur et le directeur comptable et financier établissent une fois par an un tableau de bord sur la base des résultats du contrôle interne, sur une situation arrêtée au 30 juin de l'année en cours. Ce tableau de bord de contrôle interne présente, pour les activités gérées par l'organisme ou faisant l'objet d'une délégation, une synthèse des résultats des actions mises en place pour lutter contre les risques majeurs, dont les risques financiers et de fraude. » ;
11° L'article D. 114-4-21 est ainsi modifié :
a) A la première phrase, les mots : « de contrôle interne » sont supprimés ;
b) Les deuxième et troisième phrases sont supprimées ;
c) Il est complété par sept alinéas ainsi rédigés :
« Le rapport annuel de contrôle interne intègre, en sus du tableau de bord, pour les activités gérées par l'organisme et pour les activités déléguées, les informations essentielles au pilotage de la maîtrise des risques, dont :
«-une information sur l'environnement de contrôle, ainsi que sur les moyens de maîtrise généraux mis en œuvre dans le cadre du contrôle interne y compris pour la lutte contre la fraude ;
«-une information sur les incidents majeurs, notamment informatiques, constatés au cours de l'année et les actions correctives apportées ;
«-des éléments d'analyse synthétiques sur les principales sources d'anomalies de portée financière et les conditions dans lesquelles les risques majeurs sont maîtrisés.
« Il prend notamment en compte, en fonction de la disponibilité des données, les résultats afférents aux objectifs fixés dans le cadre des contrats pluriannuels de gestion conclus avec l'organisme national.
« Il est communiqué à l'organisme national dont il relève au plus tard le 15 avril de l'année suivant celle au titre de laquelle il a été établi.
« Une synthèse du bilan de contrôle interne est présentée au conseil d'administration lors de la séance qui approuve les comptes de l'organisme. » ;
12° Après la sous-section 2 de la section 2 du chapitre 4 bis du titre 1er du livre 1er, qui devient la sous-section 2 de la section 1 du chapitre 4 ter du titre 1er du livre 1er, il est inséré une sous-section 3 ainsi rédigée :
« Sous-section 3
« Dispositions propres aux organismes concernés par la mutualisation de missions ou activités
« Art. D. 114-4-26-1.-Lorsqu'un organisme de sécurité sociale est chargé de la réalisation de missions ou d'activités communes relatives à la gestion des organismes, au service des prestations, au recouvrement et à la gestion des activités de trésorerie, la convention mentionnée aux articles L. 122-6, L. 122-7 ou L. 122-8 intègre une clause relative au dispositif de contrôle interne propre aux missions confiées.
« Art. D. 114-4-26-2.-Lorsqu'il délègue la réalisation d'opérations à d'autres organismes ou octroie un concours financier à des organismes pour la réalisation de certaines opérations, l'organisme national peut contrôler, selon des modalités et périodicités adaptées aux risques identifiés, l'exécution des opérations correspondantes ou confier la réalisation de ce contrôle à un organisme de son réseau.
« Les organismes délégataires ou bénéficiant d'un concours financier sont tenus de communiquer, à la demande de l'organisme délégant, tout document et pièce justificative relatif aux missions qui leur sont confiées ou aux activités faisant l'objet d'un financement du régime ou de la branche. » ;
13° Les sous-sections 3 et 4 de la section 2 du chapitre 4 bis du titre 1er du livre 1er, qui deviennent les sous-sections 3 et 4 de la section 1 du chapitre 4 ter du titre 1er du livre 1er en deviennent respectivement les sous-sections 4 et 5 ;
14° Au chapitre IV ter du titre 1er du livre 1er, il est créé une section 2 intitulée : « Contrôles et lutte contre la fraude » qui comprend les articles D. 114-5 et D. 114-6 ;
15° L'article D. 122-8 est ainsi modifié :
a) Le premier alinéa est remplacé par les dispositions suivantes :
« Pour l'application des articles D. 122-1 à D. 122-4, dans le respect des instructions définies par l'organisme national, le directeur comptable et financier précise dans le plan de contrôle interne mentionné aux articles D. 114-4-7 et D. 114-4-20 : » ;
b) Le deuxième alinéa est supprimé.