Faut-il tracer toutes les données ? Ce que le Guide RDARR attend vraiment du data lineage
Cherchez le terme « data lineage » dans le texte de BCBS 239 : vous ne le trouverez pas. C'est une notion que le Guide RDARR de la BCE introduit et développe en 2024, en s'appuyant sur des exigences de BCBS 239 qui restaient plus générales — le « dictionnaire » des concepts utilisés, la traçabilité des ajustements manuels, la source unique faisant autorité (BCBS 239, Principe 3). Peu de sujets ont suscité, lors de la consultation publique du Guide, un débat aussi disputé que la traçabilité des données.
Ce que demande le Guide RDARR
La section 3.4 du Guide, consacrée à l'architecture de données intégrée, exige une gestion des taxonomies de données qui inclue notamment des traçabilités « complètes et à jour, au niveau de l'attribut de donnée » — depuis la capture de la donnée jusqu'à son extraction, sa transformation et son chargement — pour les indicateurs de risque et leurs éléments de données critiques identifiés dans le périmètre d'application. (Guide BCE, section 3.4)
« Impossible pour les grandes banques », a objecté l'EBF
La Fédération bancaire européenne a directement contesté la faisabilité de cette exigence : pour une grande banque, atteindre et maintenir une traçabilité complète et à jour pour l'ensemble des données, sur toute la chaîne, serait tout simplement impossible — vu le nombre de sources, de rapports, d'éléments de données critiques et de relations N:M entre données et rapports — à moins de maintenir cette traçabilité au niveau élevé de simples « diagrammes d'architecture ».
La réponse de la BCE ne cède pas sur le principe, mais précise une méthode : le data lineage peut être atteint via une approche en couches. La vue d'ensemble du paysage des données doit être claire et à jour à tout moment — il est toujours nécessaire de savoir quels systèmes sont en place, comment ils sont connectés, et dans quel ordre la donnée circule dans l'ensemble de la chaîne. Lorsque, en cas de problème de qualité de données, de période de tensions ou pour toute autre raison, le besoin de retracer un élément de donnée critique se présente, la banque doit être en mesure de le décrire à partir de ces diagrammes d'architecture, complétés par la documentation système, les descriptions d'interfaces et les tables de correspondance — permettant de composer une traçabilité de bout en bout à partir des éléments disponibles. (Document de retour de consultation de la BCE, mai 2024 — Tableau 4, commentaire 17 — amendement apporté)
Une traçabilité créée « à la demande » ne suffit pas
La BCE ferme cependant une porte de sortie tentante : créer la traçabilité au coup par coup, seulement lorsqu'elle est demandée, n'est pas suffisant — cela consomme du temps et des efforts, précisément au moment où, en période de tensions ou de crise, une agrégation rapide des données est essentielle. Sur le fond, la BCE indique aussi ne pas partager l'avis selon lequel l'exercice serait impossible pour les grandes banques : les capacités attendues doivent simplement être proportionnées à la taille de l'établissement et à la complexité de son architecture de données. (Document de retour de consultation de la BCE, mai 2024 — Tableau 4, commentaire 17)
Quelle granularité, concrètement ?
KBC Group a demandé des précisions sur le niveau de détail attendu : granularité système, attribut, technique, table à table ? La BCE répond que cela dépend de l'organisation interne de chaque établissement — la granularité doit permettre d'identifier les éléments de données critiques nécessaires à la production de rapports, y compris ad hoc, en particulier en période de tensions et de crise. Sur le périmètre : la traçabilité est nécessaire pour l'ensemble des éléments de données critiques requis pour calculer les indicateurs clés de risque utilisés pour piloter l'établissement — pas pour l'intégralité des données de la banque. (Document de retour de consultation de la BCE, mai 2024 — Tableau 4, commentaire 18 — amendement apporté)
Ce que doit contenir, concrètement, une documentation de traçabilité
En réponse à une demande de clarification (ESBG, German Banking Industry Committee, DZ BANK), la BCE détaille ce qu'une documentation de data lineage doit couvrir : les étapes du mouvement et/ou de la transformation de la donnée, de bout en bout, depuis sa capture jusqu'au reporting, avec une présentation de la traçabilité fonctionnelle et technique à une granularité au niveau de l'attribut de donnée ; les systèmes qui livrent, stockent, agrègent et transforment la donnée, y compris les applications développées par les utilisateurs finaux (EUC) ; toute étape manuelle ; les contrôles et exigences de qualité des données à chaque étape de création, d'acquisition, de mouvement ou de transformation ; et les rôles métier, responsabilités et propriété des données à chaque étape, ainsi que la propriété technique des systèmes concernés. (Document de retour de consultation de la BCE, mai 2024 — Tableau 5, commentaire 5)
Un chantier qui ne s'arrête jamais
La traçabilité n'est pas un exercice réalisé une fois pour toutes. Pour toute nouvelle initiative, la taxonomie de données doit être respectée, l'impact sur l'architecture des données évalué, et les liens nécessaires entre systèmes créés. En cas de nouveau produit, la taxonomie doit être amendée pour en tenir compte. En cas de fusion, la façon dont la taxonomie est mise en œuvre, le data lineage lui-même et tout besoin éventuel d'ajuster l'architecture de données dans la nouvelle entité issue de la consolidation doivent être évalués pendant le processus de consolidation, avec les changements nécessaires apportés en conséquence. (Document de retour de consultation de la BCE, mai 2024 — Tableau 5, commentaire 5)
Ce qu'il faut retenir
Le data lineage n'existe pas dans le texte fondateur de 2013 — c'est une exigence que la BCE a construite et rendue opérationnelle en 2024, précisément parce que les revues thématiques et inspections menées entre 2016 et 2023 ont montré qu'une agrégation fiable des données de risque suppose de savoir, à tout moment, d'où vient une donnée et par quelles transformations elle est passée. Le compromis trouvé lors de la consultation est clair : pas de traçabilité exhaustive de toutes les données de la banque, mais une traçabilité complète, proportionnée et immédiatement mobilisable pour les éléments de données critiques qui alimentent les indicateurs clés de risque — construite à l'avance, pas au moment où la crise la rend urgente.
Cet article est établi à partir de trois documents : les 14 principes BCBS 239 du Comité de Bâle (janvier 2013), le Guide RDARR de la BCE (mai 2024), et le document de retour de la BCE sur la consultation publique du Guide RDARR (mai 2024).