Les entreprises assujetties disposent, selon des modalités adaptées à leur taille, à la nature et à la complexité de leurs activités, de trois niveaux de contrôle distincts :

a) Le premier niveau de contrôle est assuré par des agents exerçant des activités opérationnelles. Ces agents identifient les risques induits par leur activité et respectent les procédures et les limites fixées.

b) Le deuxième niveau de contrôle est assuré par des agents au niveau des services centraux et locaux, exclusivement dédiés à la gestion des risques y compris le risque de non-conformité. Dans le cadre de cette mission, ces agents vérifient notamment que les risques ont été identifiés et gérés par le premier niveau de contrôle selon les règles et procédures prévues. Ce deuxième niveau de contrôle est assuré par la fonction de vérification de la conformité et la fonction de gestion des risques mentionnés respectivement au chapitre II et IV du présent titre ou par une ou plusieurs unités indépendantes dédiées au deuxième niveau de contrôle.

La fonction de vérification de la conformité évalue et atténue le risque de non-conformité et veille à ce que la stratégie de l'entreprise assujettie en matière de risques tienne compte du risque de non-conformité et à ce que le risque de non-conformité soit dûment pris en compte dans toutes les décisions significatives en matière de gestion des risques.

La fonction de gestion des risques participe activement à l'élaboration de la stratégie de l'établissement en matière de risques et à toutes ses décisions significatives en matière de gestion des risques et contrôle la mise en œuvre effective de la stratégie en matière de risques.

c) Le troisième niveau de contrôle est assuré par la fonction d'audit interne composée d'agents au niveau central et, le cas échéant, local distincts de ceux réalisant les contrôles de premier et deuxième niveau. Dans le cadre de cette mission, ces agents effectuent un examen indépendant de la mise en œuvre effective de la stratégie de l'entreprise assujettie en matière de risques. Ils ne sont associés à aucune autre ligne d'activité ou fonction de contrôle.

Les deux premiers niveaux de contrôle assurent le contrôle permanent de la conformité, de la sécurité et de la validation des opérations réalisées et du respect des autres diligences liées aux missions de la fonction de gestion des risques.

Le troisième niveau de contrôle assure, au moyen d'enquêtes, le contrôle périodique de la conformité des opérations, du niveau de risque effectivement encouru, du respect des procédures, de l'efficacité et du caractère approprié des dispositifs mentionnés aux a et b.