20 jours ouvrés : ce que la BCE exige en matière de rapidité du reporting des risques
BCBS 239 et le Guide RDARR de la BCE évitent, la plupart du temps, de fixer des seuils chiffrés universels — les deux textes renvoient systématiquement à la nature du risque, à la taille et à la complexité de l'établissement. Il existe pourtant une exception notable : un repère chiffré précis, donné par la BCE, pour juger de la rapidité d'un reporting de risque.
Principe 5 : l'actualité selon BCBS 239
Une banque doit être capable de générer des données de risque agrégées et à jour de façon rapide, tout en respectant l'exactitude, l'exhaustivité et l'adaptabilité. Le Comité de Bâle reconnaît que différents types de données seront nécessaires à des vitesses différentes selon le type de risque, et que certaines données peuvent être requises plus rapidement en situation de tensions ou de crise — les banques doivent donc construire leurs systèmes pour être capables de produire des données de risque agrégées rapidement, pour tous les risques critiques, en période de stress. Le texte cite des exemples de risques critiques : l'exposition crédit agrégée à un grand emprunteur corporate, les expositions de contrepartie (y compris sur dérivés), les expositions de trading et limites opérationnelles, les indicateurs de liquidité comme les flux de trésorerie et le financement, et les indicateurs de risque opérationnel sensibles au facteur temps, comme la disponibilité des systèmes ou les accès non autorisés. (BCBS 239, Principe 5)
Principe 6 : l'adaptabilité aux demandes ad hoc
Une banque doit aussi être capable de répondre à un large éventail de demandes de reporting ponctuelles et non planifiées — y compris en période de tensions, en cas de changement des besoins internes, ou pour répondre aux questions des superviseurs. Cela suppose des processus d'agrégation flexibles permettant une prise de décision rapide, des capacités de personnalisation pour les utilisateurs (tableaux de bord, points clés, anomalies), la possibilité d'approfondir une donnée à la demande, et l'aptitude à produire rapidement des rapports de synthèse. Le texte donne un exemple concret : une banque devrait pouvoir agréger rapidement ses expositions de crédit par pays ou par secteur d'activité, à une date donnée, sur l'ensemble de ses lignes d'activité et zones géographiques. (BCBS 239, Principe 6)
Ce que précise la BCE : deux facteurs, pas un seul
Le Guide RDARR de 2024 identifie deux facteurs distincts qui déterminent l'actualité d'un reporting de risque : la fréquence de production des rapports, et le temps nécessaire pour les produire. La fréquence doit être cohérente avec le dynamisme potentiel des chiffres de risque concernés — plus un indicateur est volatil, plus la fréquence de reporting doit être élevée. Le Guide cite à ce titre le Guide de la BCE sur l'ICAAP, qui précise que la fréquence de reporting des résultats de l'ICAAP à l'organe de direction est attendue au moins trimestrielle, mais pourrait devoir être plus fréquente selon la taille, la complexité, le modèle d'affaires et les types de risques de l'établissement. Les mesures de risque économique, généralement plus volatiles que les mesures de risque normatif, exigent ainsi le plus souvent une fréquence de reporting plus élevée. (Guide BCE, section 3.6)
La règle des 20 jours ouvrés
C'est ici que le Guide introduit l'un des rares seuils chiffrés explicites de tout le dispositif RDARR : la BCE attend d'un établissement que la combinaison de la fréquence de reporting et du temps de production soit calibrée pour permettre des réactions rapides à l'évolution de sa situation de risque, conformément à ses indicateurs internes d'appétit pour le risque. Pour les rapports de risque internes en situation normale, il est généralement admis qu'un établissement ne pourra pas réagir à temps aux changements si un rapport de risque mensuel ou trimestriel nécessite plus de 20 jours ouvrés pour être produit. Ce temps de production dépend lui-même de la matérialité et de la volatilité des indicateurs clés de risque à reporter. (Guide BCE, section 3.6)
Et en situation de tensions ?
Au-delà de ce repère pour les situations normales, la BCE attend des établissements qu'ils disposent de capacités RDARR effectives pour les situations de tensions ou de crise — pour gérer des chocs inattendus, comme la pandémie de COVID-19 citée explicitement par le Guide comme exemple récent, ou pour s'adapter à des exigences de reporting et de publication nouvelles ou modifiées. En période de tensions naissantes, les capacités d'agrégation doivent être suffisamment adaptables pour répondre à des demandes ponctuelles avec un niveau de granularité suffisant — par exemple des données au niveau client pour gérer des concentrations de risque de crédit —, à la fois au niveau de l'entité et du groupe. La BCE attend que la rapidité du reporting ne soit pas compromise, même en période de tensions, par une infrastructure IT fragmentée ou un volume important de processus d'agrégation manuels. (Guide BCE, section 3.6)
Un seuil pour se situer, pas une norme absolue
Les 20 jours ouvrés ne sont pas présentés comme un plafond réglementaire s'appliquant uniformément à tous les rapports de tous les établissements — le Guide les mentionne comme repère pour les rapports mensuels ou trimestriels en situation normale, le temps de production réel restant fonction de la matérialité et de la volatilité de chaque indicateur. C'est néanmoins l'un des rares points de tout le dispositif BCBS 239 / RDARR où un chiffre concret vient éclairer une exigence par ailleurs qualitative — et donc un repère utile pour un établissement qui chercherait à s'auto-évaluer sur ce point précis.
Cet article est établi exclusivement à partir de deux documents : les 14 principes BCBS 239 du Comité de Bâle (janvier 2013) et le Guide RDARR de la BCE (mai 2024), tous deux accessibles sur la page Ressources.