Système de gouvernance : le cadre général

De quoi parle-t-on

La gouvernance désigne l'ensemble des organes, des règles et des processus par lesquels un organisme est dirigé, contrôlé et rend compte. En assurance, elle a une finalité précise : garantir une gestion saine et prudente de l'activité et protéger les assurés, qui sont aussi, dans les mutuelles et les sociétés d'assurance mutuelle, les membres ou les sociétaires de l'organisme.

Trois cadres juridiques coexistent :

• les sociétés anonymes et les sociétés européennes, régies par le code de commerce et le code des assurances, dont les règles de gouvernance ont d'abord été conçues pour les actionnaires ;
• les mutuelles et unions, régies par le code de la mutualité, et les sociétés d'assurance mutuelle, régies par le code des assurances, où l'assuré est aussi membre ou sociétaire ;
• les institutions de prévoyance, régies par le code de la sécurité sociale, où l'équilibre paritaire entre adhérents et participants est une donnée structurelle.

Les exigences prudentielles de Solvabilité II se superposent à ces trois cadres sans les remplacer. Un organisme doit satisfaire aux deux niveaux : le droit propre à sa forme juridique et les exigences communes du régime prudentiel.

L'architecture du système de gouvernance

Le système de gouvernance repose sur des éléments que les textes énumèrent :

• un organe délibérant, l'assemblée générale, pouvoir souverain qui approuve les comptes, nomme les administrateurs et modifie les statuts ;
• un organe d'administration, de gestion ou de contrôle, en pratique le conseil d'administration, qui fixe la stratégie, approuve les politiques écrites et le rapport ORSA et surveille l'exécutif ;
• au moins deux dirigeants effectifs : le directeur général et le directeur général délégué dans les sociétés, le président du conseil d'administration et le dirigeant opérationnel dans les mutuelles, le directeur général et le directeur général délégué dans les institutions de prévoyance ;
• quatre fonctions clés, gestion des risques, vérification de la conformité, audit interne et fonction actuarielle, chacune confiée à un responsable unique, personne physique, notifié à l'autorité de contrôle ;
• des politiques écrites approuvées par le conseil et revues au moins une fois par an, couvrant au minimum la gestion des risques, le contrôle interne, l'audit interne, la sous-traitance et la rémunération ;
• un dispositif de contrôle interne, un plan de continuité de l'activité et, depuis 2025, un cadre de gestion du risque informatique conforme au règlement DORA.

Ces organes sont hiérarchisés : l'exécutif rend compte au conseil, qui répond devant l'assemblée générale. Chaque organe doit remplir tout son rôle, mais seulement son rôle. Aucun ne doit se substituer aux autres, et le conseil doit disposer d'une information suffisante pour décider en connaissance de cause.

Textes de référence

• Directive 2009/138/CE (Solvabilité II), articles 40 à 50 ; règlement délégué (UE) 2015/35, articles 258 à 275 ; orientations de l'EIOPA sur le système de gouvernance.
• Code des assurances : articles L. 322-3-2 (dirigeants effectifs), L. 354-1 à L. 354-3 et R. 354-1 à R. 354-8 (système de gouvernance, évaluation interne des risques et de la solvabilité, sous-traitance).
• Code de la mutualité : articles L. 114-21, L. 211-12 à L. 211-15 et R. 211-15.
• Code de la sécurité sociale : articles L. 931-7 à L. 931-7-2 et R. 931-3-45-3.
• Code monétaire et financier : article L. 612-23-1 (notification des dirigeants effectifs et des responsables de fonctions clés), articles L. 612-30 et suivants (mesures de police administrative) et L. 612-39 (sanctions).
• Règlement (UE) 2022/2554 (DORA), applicable depuis le 17 janvier 2025, pour la gouvernance du risque lié aux technologies de l'information.
• Directive (UE) 2025/2 révisant Solvabilité II, publiée le 8 janvier 2025 et applicable à compter du 30 janvier 2027 : politique de diversité des organes, notification renforcée des responsables de fonctions clés, régime allégé pour les entreprises petites et non complexes.

Zones d'attention

• la réalité des dirigeants effectifs : disponibilité, périmètre de responsabilité, capacité à engager l'organisme, délégations formalisées ;
• l'honorabilité et la compétence des dirigeants et des administrateurs, appréciées individuellement et collectivement ;
• l'indépendance des fonctions clés : rattachement, accès direct au conseil, absence de conflit d'intérêts, cumuls limités aux cas de proportionnalité documentés ;
• la qualité de l'information transmise au conseil et la trace de ses délibérations : un conseil qui approuve le rapport ORSA sans en avoir débattu n'a pas exercé son rôle ;
• des politiques écrites reprises d'un modèle et jamais révisées, ou sans lien avec les pratiques observées ;
• un dirigeant opérationnel sans délégation formalisée, ou un président qui exerce en pratique la direction opérationnelle ;
• un rapport ORSA rédigé par un prestataire et présenté au conseil sans appropriation par la direction ;
• une sous-traitance non recensée, sans contrat conforme ni dispositif de suivi, y compris pour les fonctions clés externalisées ;
• des conflits d'intérêts non déclarés et des conventions réglementées non identifiées.

Les questions à se poser

• Qui sont nos deux dirigeants effectifs, et que peuvent-ils engager sans le conseil ?
• Le conseil a-t-il débattu du rapport ORSA avant de l'approuver, et le procès-verbal en garde-t-il la trace ?
• Nos quatre fonctions clés ont-elles un accès direct au conseil, et quand l'ont-elles utilisé pour la dernière fois ?
• Quelles politiques écrites ont été relues au cours des douze derniers mois, et lesquelles ont changé ?
• Quelles activités sont sous-traitées, et qui, en interne, en contrôle la qualité ?
• L'analyse de proportionnalité qui justifie nos cumuls de fonctions est-elle écrite et datée ?
• Comment les conflits d'intérêts sont-ils déclarés, enregistrés et traités ?

Ce que le cabinet apporte

• diagnostic du système de gouvernance au regard des exigences, avec un plan de remédiation hiérarchisé ;
• audit externalisé du système de gouvernance, pour le compte de la fonction d'audit interne ;
• rédaction ou refonte des politiques écrites et de la cartographie des délégations ;
• préparation des dossiers de notification des dirigeants effectifs et des responsables de fonctions clés ;
• formation des conseils d'administration à leur rôle sous Solvabilité II.