À qui et à quoi s'applique BCBS 239 ? Le périmètre exact selon le Comité de Bâle et la BCE

« BCBS 239 s'applique aux données de risque des grandes banques » : la formule est juste, mais elle masque un périmètre en réalité beaucoup plus précis. Le texte du Comité de Bâle, complété par le Guide RDARR de la BCE, délimite explicitement qui doit s'y conformer, à quelles données et à quels modèles cela s'applique, et jusqu'où va cette exigence.

Les banques concernées, et depuis quand

Les principes s'adressent d'abord aux banques d'importance systémique mondiale (G-SIB) désignées par le Conseil de stabilité financière (FSB). Celles identifiées comme G-SIB en novembre 2011 ou en novembre 2012 devaient s'y conformer dès janvier 2016 ; les G-SIB désignées lors des mises à jour annuelles suivantes disposent de trois ans à compter de leur désignation. Le Comité de Bâle recommande en outre fortement aux superviseurs nationaux d'appliquer les mêmes principes aux banques d'importance systémique nationale (D-SIB), trois ans après leur désignation comme telles. Les superviseurs nationaux peuvent, s'ils le souhaitent, étendre ces principes à un périmètre plus large de banques, de façon proportionnée à la taille, la nature et la complexité de leurs activités. (BCBS 239, section « Scope and initial considerations »)

Un point souvent négligé : les principes s'appliquent à la fois au niveau du groupe bancaire et sur base individuelle (solo). Ils couvrent également les processus externalisés à des prestataires tiers — l'externalisation d'une fonction ne dispense donc pas l'établissement de s'y conformer. (BCBS 239, section « Scope and initial considerations »)

Pas seulement « la donnée de risque » : un périmètre de données et de modèles précis

Le texte de 2013 précise que les principes s'appliquent aux données de gestion des risques de la banque, y compris les données jugées critiques pour permettre à l'établissement de gérer les risques auxquels il est exposé. Mais il va plus loin : les principes couvrent aussi l'ensemble des modèles internes clés de gestion des risques — notamment, mais pas exclusivement, les modèles de capital réglementaire du Pilier 1 (par exemple les approches notations internes pour le risque de crédit, ou les approches de mesure avancée pour le risque opérationnel), les modèles de capital du Pilier 2, et d'autres modèles clés comme la valeur en risque (VaR). (BCBS 239, section « Scope and initial considerations »)

Si les principes s'appliquent d'abord aux processus de gestion des risques au niveau du groupe, le Comité de Bâle note que les banques peuvent aussi avoir intérêt à les appliquer à d'autres processus, comme les processus financiers et opérationnels, ainsi qu'au reporting prudentiel. (BCBS 239, section « Scope and initial considerations »)

Ce que la BCE rend concret en 2024

Onze ans plus tard, le Guide RDARR de la BCE consacre une section entière — « Sufficient scope of application » — à traduire ce périmètre en une liste opérationnelle. Le dispositif de gouvernance des données d'un établissement doit, selon la BCE, couvrir a minima trois catégories de reporting :

• les rapports de risque internes utilisés dans les processus de décision et de pilotage — y compris les indicateurs d'appétit pour le risque (métriques et limites) et les principaux rapports de risque, par type de risque financier et non financier ;
• les rapports financiers publiés en externe, ainsi que les états financiers annuels ;
• les rapports prudentiels transmis aux autorités de supervision ou de régulation — dont les gabarits FINREP/COREP, les exercices de type « Short Term Exercise », les soumissions aux tests de résistance EBA à l'échelle de l'UE et aux tests de résistance SREP, ainsi que les publications au titre du Pilier 3.

Côté modèles, le Guide précise que le périmètre doit couvrir, sans s'y limiter, les modèles de capital réglementaire du Pilier 1 (comme les approches notations internes pour le risque de crédit), les modèles de risque et de capital du Pilier 2, et les autres modèles clés de gestion des risques — dont les modèles de provisions collectives IFRS 9 et les modèles de valeur en risque —, en incluant à la fois les données utilisées pour développer ces modèles et les résultats qu'ils produisent (probabilité de défaut, perte en cas de défaut, exposition en cas de défaut, etc.). Enfin, le périmètre doit inclure au moins les indicateurs d'appétit pour le risque de l'établissement ainsi que les autres indicateurs clés de risque mentionnés dans ces rapports et modèles — l'établissement devant explicitement identifier les éléments de données critiques qui sous-tendent chacun de ces indicateurs. (Guide BCE, section 3.2)

Le Guide précise également que ce dispositif de gouvernance des données doit couvrir l'intégralité du cycle de vie de la donnée — c'est-à-dire l'ensemble des processus, depuis l'origination et la capture de la donnée jusqu'à l'agrégation et le reporting. (Guide BCE, section 3.2)

Des exceptions strictement encadrées

BCBS 239 n'exige pas une application aveugle et sans nuance : le texte admet des arbitrages entre principes dans des circonstances exceptionnelles, par exemple lors de demandes urgentes ou ad hoc d'information sur des zones de risque nouvelles ou mal connues. Mais ces arbitrages ne doivent jamais avoir d'impact matériel sur les décisions de gestion des risques ; le conseil et la direction générale doivent être conscients de ces arbitrages et de leurs limites, et les superviseurs attendent des banques qu'elles disposent de politiques encadrant leur usage. (BCBS 239, section « Scope and initial considerations »)

Le texte définit aussi précisément la notion de matérialité utilisée tout au long du document : une donnée ou un rapport ne peut exclure une information, à titre exceptionnel, que si son omission n'affecte pas le processus de décision de la banque — c'est-à-dire si les décideurs, en particulier le conseil et la direction générale, n'auraient pas été influencés, ou n'auraient pas pris une décision différente, s'ils avaient disposé de l'information correcte. Pour apprécier cette matérialité, les banques doivent prendre en compte des critères qui vont au-delà du seul nombre ou de la taille des expositions non incluses, comme le type de risques concernés ou le caractère évolutif de l'activité bancaire. (BCBS 239, section « Scope and initial considerations »)

Un périmètre qui s'élargit, pas qui se déplace

En comparant les deux textes, une chose frappe : la BCE n'a pas redéfini le périmètre de BCBS 239 en 2024, elle l'a rendu opérationnel. Là où le Comité de Bâle parlait en 2013 de « données de gestion des risques » et de « modèles clés », la BCE liste en 2024 des gabarits réglementaires précis (FINREP, COREP, Pilier 3), des types de modèles nommément identifiés (IFRS 9, VaR) et impose une identification explicite, indicateur par indicateur, des données critiques sous-jacentes. Pour un établissement qui se demande encore aujourd'hui « est-ce que cela s'applique à mon rapport / mon modèle / mon indicateur ? », c'est bien la section 3.2 du Guide RDARR qui donne la réponse la plus concrète.

Cet article est établi exclusivement à partir de deux documents : les 14 principes BCBS 239 du Comité de Bâle (janvier 2013) et le Guide RDARR de la BCE (mai 2024), tous deux accessibles sur la page Ressources.