Que doit contenir un bon rapport de risque ? Les 5 qualités du Pilier III de BCBS 239
Le Pilier III de BCBS 239 part d'un constat que beaucoup d'établissements ont appris à leurs dépens : des données exactes, complètes et disponibles à temps sont une condition nécessaire à une gestion des risques efficace — mais elles ne suffisent pas. Le texte le formule directement : la donnée seule ne garantit pas que le conseil et la direction générale recevront l'information appropriée pour prendre des décisions efficaces sur le risque. Il faut aussi que la bonne information soit présentée aux bonnes personnes, au bon moment. C'est l'objet des cinq principes du Pilier III — la seule contrainte étant que leur respect ne se fasse pas au détriment les uns des autres. (BCBS 239, introduction du Pilier III)
1. Exactitude (Principe 7)
Les rapports de risque doivent transmettre les données agrégées de façon exacte et précise, refléter le risque de manière fidèle, et être rapprochés et validés. Pour garantir cette exactitude, une banque doit maintenir a minima : des exigences et processus définis pour rapprocher les rapports des données de risque ; des contrôles automatisés et manuels de cohérence, incluant un inventaire des règles de validation appliquées aux informations quantitatives, avec une explication des conventions utilisées pour décrire les relations mathématiques ou logiques à vérifier ; et des procédures intégrées pour identifier, signaler et expliquer les erreurs de données ou les faiblesses d'intégrité via des rapports d'exception. (BCBS 239, Principe 7)
Le texte reconnaît explicitement la légitimité des approximations — résultats de modèles, d'analyses de scénarios, de tests de résistance — dès lors que la banque établit des exigences de fiabilité documentées pour ces approximations, tout comme pour les autres types de reporting. Les superviseurs attendent que la direction générale fixe des exigences d'exactitude et de précision pour le reporting normal comme pour le reporting de crise, en s'appuyant sur une notion de matérialité analogue à la matérialité comptable : si une omission ou une inexactitude pourrait influencer les décisions de risque des utilisateurs, elle peut être considérée comme matérielle. (BCBS 239, Principe 7)
2. Exhaustivité (Principe 8)
Les rapports de gestion des risques doivent couvrir l'ensemble des zones de risque matérielles de l'organisation, avec une profondeur et un périmètre cohérents avec la taille et la complexité de la banque. Cela inclut les expositions et positions pour tous les risques significatifs — crédit, marché, liquidité, opérationnel — et leurs composantes significatives (par exemple, par contrepartie, pays ou secteur pour le risque de crédit), ainsi que les mesures liées au risque comme le capital réglementaire et économique. Les rapports doivent identifier les concentrations de risque émergentes, situer l'information par rapport aux limites et à l'appétit pour le risque, et proposer des recommandations d'action le cas échéant — y compris un caractère prospectif, avec des prévisions ou scénarios, plutôt que la seule photographie du passé. (BCBS 239, Principe 8)
Le texte donne une liste indicative de ce qu'un rapport de risque agrégé devrait a minima couvrir : l'adéquation des fonds propres, le capital réglementaire, les projections de ratios de capital et de liquidité, les risques de crédit, de marché, opérationnel et de liquidité, les résultats des tests de résistance, les concentrations inter- et intra-risques, ainsi que les positions et plans de financement. (BCBS 239, Principe 8)
3. Clarté et utilité (Principe 9)
Un rapport de risque doit communiquer l'information de façon claire et concise — facile à comprendre, tout en restant suffisamment complet pour permettre une prise de décision informée, avec une information pertinente et adaptée aux besoins de ses destinataires. Le bon équilibre entre données brutes, analyse, interprétation et explications qualitatives varie selon le niveau hiérarchique : plus on monte dans l'organisation, plus le degré d'agrégation augmente, et plus l'interprétation qualitative devient nécessaire. Le conseil, en particulier, est responsable de déterminer ses propres exigences de reporting et doit alerter la direction générale lorsque les rapports reçus ne répondent pas à ses besoins pour exercer son mandat de gouvernance. (BCBS 239, Principe 9)
Les superviseurs attendent qu'une banque confirme périodiquement auprès des destinataires que l'information agrégée et transmise reste pertinente et appropriée, tant en quantité qu'en qualité, au regard du processus de gouvernance et de décision. (BCBS 239, Principe 9)
4. Fréquence (Principe 10)
C'est au conseil et à la direction générale — ou aux autres destinataires selon le cas — qu'il revient de fixer la fréquence de production et de diffusion des rapports de risque, en fonction des besoins des destinataires, de la nature du risque, de sa vitesse d'évolution potentielle, et de l'importance du rapport pour une prise de décision saine et efficace. Cette fréquence doit augmenter en période de tensions ou de crise. Une banque doit tester régulièrement sa capacité à produire des rapports exacts dans les délais fixés, en particulier en situation de tensions — les superviseurs attendant qu'en période de crise, l'ensemble des rapports pertinents et critiques sur le crédit, le marché et la liquidité soient disponibles dans un délai très court, certaines informations de position ou d'exposition devant même être disponibles en intrajournalier. (BCBS 239, Principe 10)
5. Diffusion (Principe 11)
Enfin, les rapports de gestion des risques doivent être diffusés aux parties concernées tout en préservant la confidentialité. Des procédures doivent permettre une collecte et une analyse rapides des données de risque, ainsi qu'une diffusion des rapports en temps utile à l'ensemble des destinataires appropriés — en conciliant cette rapidité avec les impératifs de confidentialité. Les superviseurs attendent d'une banque qu'elle confirme périodiquement que les destinataires concernés reçoivent bien leurs rapports en temps voulu. (BCBS 239, Principe 11)
Cinq qualités, pas une hiérarchie
Le Comité de Bâle est explicite sur un point : ces cinq principes ne doivent pas être respectés au détriment les uns des autres. Un rapport parfaitement exhaustif mais illisible n'est pas conforme ; un rapport clair mais produit trop tard pour éclairer une décision ne l'est pas davantage. C'est la combinaison des cinq — exactitude, exhaustivité, clarté, fréquence, diffusion — qui définit, selon BCBS 239, ce qu'est un bon rapport de risque.
Cet article est établi exclusivement à partir de deux documents : les 14 principes BCBS 239 du Comité de Bâle (janvier 2013) et le Guide RDARR de la BCE (mai 2024), tous deux accessibles sur la page Ressources.