Qui doit faire quoi ? Les lignes de défense du RDARR selon BCBS 239 et la BCE
Qui, dans une banque, est responsable de la qualité d'un indicateur de risque ? Qui doit la contrôler indépendamment ? Qui, enfin, vérifie que ce contrôle lui-même fonctionne ? BCBS 239 pose la question dès 2013, mais y répond en quelques lignes. Le Guide RDARR de la BCE, en 2024, la reprend et la détaille sur plusieurs pages, avec une répartition des rôles beaucoup plus opérationnelle.
BCBS 239 : une exigence de validation indépendante, posée en filigrane
Le Principe 1 (Gouvernance) de BCBS 239 exige que les capacités d'agrégation des données de risque et les pratiques de reporting d'une banque soient pleinement documentées et soumises à des standards élevés de validation. Cette validation doit être indépendante et porter sur la conformité de la banque à l'ensemble des principes du texte. Son objectif premier est de s'assurer que les processus d'agrégation et de reporting fonctionnent comme prévu et sont adaptés au profil de risque de la banque. Le texte précise que cette validation indépendante doit être alignée et intégrée aux autres activités de revue indépendante du programme de gestion des risques de la banque, et couvrir l'ensemble des composantes de ses processus d'agrégation et de reporting — en s'appuyant, autant que possible, sur du personnel disposant d'une expertise spécifique en IT, en données et en reporting. (BCBS 239, Principe 1)
C'est en note de bas de page que le texte nomme explicitement le concept : cette fonction de validation est ce qu'on appelle la « seconde ligne de défense » au sein du dispositif de contrôle interne de la banque. Une autre note précise que la validation doit être conduite séparément du travail d'audit, afin de préserver pleinement la distinction entre la deuxième et la troisième ligne de défense au sein du dispositif de contrôle interne. (BCBS 239, Principe 1, notes 13 et 14)
Le Guide RDARR de 2024 : quatre niveaux de responsabilité
Là où BCBS 239 esquisse le principe, le Guide RDARR de la BCE détaille, dans sa section consacrée au dispositif de gouvernance des données, les éléments minimaux attendus — à la fois au niveau du groupe et au niveau des entités juridiques importantes. Quatre niveaux de responsabilité s'articulent.
1. Les propriétaires de données (data owners)
Premier niveau : des propriétaires de données responsables des indicateurs clés de risque et des éléments de données critiques, tout au long du processus d'agrégation, de bout en bout. Cette responsabilité peut être déléguée, à condition d'inclure : la contribution, en lien avec les utilisateurs de la donnée, à la définition des contrôles de qualité et à la classification des indicateurs clés de risque et des éléments de données critiques sous-jacents ; la garantie de l'exactitude, de l'intégrité, de l'exhaustivité et de l'actualité des données ; le suivi et le signalement de la qualité des données via les processus de qualité des données ; la remédiation des problèmes de qualité insuffisante ; et la gestion des métadonnées relatives à la traçabilité (data lineage) et au dictionnaire de données. (Guide BCE, section 3.3)
2. Une fonction centrale de gouvernance des données
Deuxième niveau : une fonction centrale de gouvernance des données, responsable de l'émission des politiques et processus de gestion de la qualité des données, de la supervision de la bonne mise en œuvre du dispositif de gouvernance des données dans l'ensemble de l'organisation, de l'évaluation et du suivi de la qualité des données, et de la participation aux processus de gestion du changement ayant un impact matériel sur le RDARR — qu'il s'agisse de fusions ou acquisitions d'entités juridiques importantes, d'externalisation de fonctions, de lancement de nouveaux produits ou outils, de mises à niveau d'outils existants, ou d'autres initiatives de changement informatique. (Guide BCE, section 3.3)
3. Une fonction de validation, en deuxième ligne de défense
Troisième niveau : une fonction de validation, positionnée en deuxième ligne de défense, indépendante des unités impliquées dans la gouvernance des données et les processus RDARR, chargée de s'assurer que ces processus fonctionnent comme prévu. Lorsque cette fonction de validation appartient à la même entité que celle responsable de la gouvernance des données ou du RDARR — par exemple la fonction de gestion des risques —, une séparation adéquate des tâches et d'autres mesures d'atténuation doivent être mises en place pour éviter ou limiter les conflits d'intérêts. Cette fonction doit réaliser des évaluations régulières des capacités RDARR de l'établissement pour l'ensemble des entités et types de risques importants, et couvrir toutes les composantes des processus RDARR — infrastructure IT, traçabilité des données, taxonomie des données —, y compris la supervision des fonctions externalisées, des initiatives de changement informatique, des fusions-acquisitions et des lancements de nouveaux produits. Elle doit disposer de ressources humaines suffisantes et de l'expertise IT, données et reporting nécessaire, avec des dispositions organisationnelles garantissant son indépendance effective — leur nature étant fonction de la taille, de l'échelle et de la complexité de l'établissement. (Guide BCE, section 3.3)
4. L'audit interne, en troisième ligne de défense
Quatrième niveau : une fonction d'audit interne, qui constitue la troisième ligne de défense et fournit périodiquement des revues indépendantes de la fonction de validation, du dispositif de gouvernance des données, des capacités et processus RDARR, ainsi que de la qualité des données utilisées pour la quantification des risques. Ces revues indépendantes peuvent être complétées par des revues prudentielles ou, si l'établissement le juge nécessaire, par une revue externe indépendante. (Guide BCE, section 3.3)
Au sommet : l'organe de direction
Ces quatre niveaux ne sont pas autonomes : le Guide RDARR les inscrit sous la responsabilité globale de l'organe de direction, à qui incombe d'accepter la responsabilité de la qualité et de la gouvernance des données de risque, d'approuver et de mettre en œuvre le dispositif de gouvernance des données, et de désigner un ou deux de ses membres pour exercer la responsabilité de sa mise en œuvre — sans que cette désignation ne le décharge de sa responsabilité globale. C'est également l'organe de direction qui doit fixer des rôles et responsabilités clairs pour le RDARR au sein de l'organisation, y compris pour les comités concernés. (Guide BCE, section 3.1)
Un dispositif ancien, une application encore incomplète
Le modèle des trois lignes de défense n'a rien de nouveau : il structure le contrôle interne bancaire bien au-delà du seul RDARR. Ce que montre la lecture croisée des deux textes, c'est que le Comité de Bâle en posait déjà le principe dès 2013 — via une simple exigence de validation indépendante — mais que la BCE a jugé nécessaire, onze ans plus tard, d'en détailler l'application concrète, fonction par fonction. Un signe, parmi d'autres, que le principe général était largement connu des établissements, mais que sa mise en œuvre effective, elle, restait à construire.
Cet article est établi exclusivement à partir de deux documents : les 14 principes BCBS 239 du Comité de Bâle (janvier 2013) et le Guide RDARR de la BCE (mai 2024), tous deux accessibles sur la page Ressources.