BCBS 239, dix ans après : pourquoi la BCE juge sa mise en œuvre toujours insuffisante
En 2013, le Comité de Bâle publiait ses 14 principes d'agrégation des données de risque et de reporting des risques — BCBS 239. Onze ans plus tard, en mai 2024, la Banque centrale européenne publiait à son tour un guide détaillant sept attentes prudentielles minimales sur ce même sujet. Entre les deux textes, une question mérite d'être posée : pourquoi la BCE a-t-elle dû y revenir ?
Un constat né de la crise de 2007-2008
Le texte du Comité de Bâle part d'un diagnostic simple : l'une des leçons les plus significatives de la crise financière qui a débuté en 2007 est que les architectures informatiques et les dispositifs de données des banques étaient inadaptés pour soutenir une gestion large des risques financiers. De nombreux établissements étaient incapables d'agréger rapidement et précisément leurs expositions au risque, ou d'identifier leurs concentrations, à l'échelle du groupe, entre lignes d'activité et entre entités juridiques. Certaines banques n'ont pas pu gérer correctement leurs risques du seul fait de la faiblesse de leurs capacités d'agrégation et de leurs pratiques de reporting — avec des conséquences sévères, à la fois pour ces banques et pour la stabilité du système financier dans son ensemble. (BCBS 239, introduction)
C'est le Conseil de stabilité financière (FSB) qui a recommandé, en novembre 2011, l'élaboration d'un ensemble d'attentes prudentielles pour amener les data aggregation capabilities des établissements systémiques à un niveau permettant aux superviseurs, aux banques elles-mêmes et aux autres utilisateurs de la donnée d'avoir confiance dans l'exactitude des rapports produits. Le FSB fixait déjà l'échéance : début 2016 pour les G-SIB — une date choisie parce qu'elle correspond au début de l'entrée en vigueur de leur exigence de capacité d'absorption des pertes. (BCBS 239, introduction)
Le socle : quatre piliers, quatorze principes
Publié en janvier 2013, BCBS 239 organise ses attentes en quatre piliers : la gouvernance et l'infrastructure globales, les capacités d'agrégation des données de risque, les pratiques de reporting des risques, et l'examen prudentiel avec ses outils de coopération entre superviseurs. Le texte s'adresse en priorité aux banques d'importance systémique mondiale (G-SIB), avec une échéance de janvier 2016 pour les établissements désignés en 2011 ou 2012, et un délai de trois ans à compter de la désignation pour les suivantes. Le Comité de Bâle recommande fortement aux superviseurs nationaux d'appliquer les mêmes principes aux banques d'importance systémique nationale (D-SIB), trois ans après leur désignation. (BCBS 239, §14-15 ; le détail des 14 principes est disponible ici)
Les objectifs affichés sont concrets : améliorer l'infrastructure de reporting utilisée par le conseil et la direction générale, fiabiliser la prise de décision à travers l'organisation bancaire, permettre une vision consolidée des expositions au niveau du groupe, réduire la probabilité et la sévérité des pertes liées à des faiblesses de gestion des risques, et accélérer la vitesse à laquelle l'information est disponible pour la prise de décision. (BCBS 239, section « Objectives »)
2016 : la BCE va vérifier sur le terrain
La BCE n'a pas attendu passivement l'échéance de 2016. Dès cette année-là, elle a lancé une revue thématique sur l'agrégation des données de risque et le reporting des risques (RDARR), portant sur un échantillon de 25 établissements significatifs. Cette revue évaluait la gouvernance globale, les capacités d'agrégation des données et les pratiques de reporting des banques, en s'appuyant directement sur les principes BCBS 239. Elle a été complétée par un exercice de benchmarking étendu et deux analyses supplémentaires : un exercice de « data lineage » (traçabilité des données) sur le risque de crédit, et un exercice de type « fire drill » sur le risque de liquidité — autrement dit, un test grandeur nature de la capacité des banques à produire rapidement une donnée fiable en situation d'urgence. (Guide BCE, introduction)
2018 : un constat sans appel, y compris pour les plus grandes banques
Les résultats de cette revue thématique, combinés à ceux d'inspections sur place, ont révélé des lacunes dans l'effectivité des dispositifs de gouvernance des données. La conclusion de la BCE est nette : aucun des établissements significatifs de l'échantillon — y compris ceux classés comme établissements d'importance systémique mondiale — ne suivait pleinement les principes BCBS 239. Des faiblesses sérieuses dans les pratiques RDARR ont donc été identifiées. (Guide BCE, introduction)
2019 : une lettre à tous les établissements significatifs
Les problèmes identifiés ont fait l'objet d'un suivi via des inspections sur place dédiées, dans le cadre du SREP et de la supervision courante. Mais les progrès observés ont stagné sur plusieurs déficiences clés : l'effectivité des dispositifs de gouvernance, les architectures de données de risque et les infrastructures IT associées. Face à cette stagnation, la BCE a adressé en 2019 une lettre à l'ensemble des établissements significatifs placés sous sa supervision directe au sein du Mécanisme de surveillance unique (MSU), les exhortant à réaliser des améliorations substantielles et rapides, et à mettre en œuvre les solutions de reporting intégrées considérées comme les meilleures pratiques du secteur. (Guide BCE, introduction)
2024 : le Guide RDARR, ou la fin de la tolérance
Malgré ce renforcement de la vigilance prudentielle, la BCE conclut que les progrès réalisés par les établissements significatifs restent, à ce jour, globalement insuffisants. Le RDARR n'a pas reçu un niveau d'attention approprié, n'a pas été correctement piloté, et de nombreuses déficiences structurelles n'ont toujours pas été traitées. Des capacités RDARR adéquates restent l'exception, et l'adhésion complète aux principes BCBS 239 reste à atteindre. (Guide BCE, introduction)
C'est ce constat qui a conduit la BCE à publier, en mai 2024, son Guide sur l'agrégation des données de risque et le reporting des risques — non pas un cinquième pilier ni une réécriture de BCBS 239, mais un document précisant les attentes prudentielles minimales de la BCE, construites autour de sept domaines : les responsabilités de l'organe de direction, le périmètre d'application, le dispositif de gouvernance des données, l'architecture de données intégrée, la gestion de la qualité des données à l'échelle du groupe, l'actualité du reporting interne, et l'effectivité des programmes de mise en œuvre. (le détail des 7 domaines est disponible ici)
Un choix éditorial du Guide mérite d'être souligné : il consacre sa toute première section aux responsabilités de l'organe de direction — c'est-à-dire au conseil et à la direction générale. Ce n'est pas anodin : le texte précise explicitement que le contenu du Guide priorise la gestion de projet et le rôle de l'organe de direction, parce que ce sont ces deux éléments qui ont été identifiés comme les causes profondes de l'insuffisance des progrès observés jusqu'ici. Autrement dit, pour la BCE, le problème n'est pas d'abord technique — il est d'abord un problème de pilotage et de priorisation au plus haut niveau. (Guide BCE, introduction)
Ce qui est réellement en jeu pour les établissements
Le Guide n'est pas qu'une déclaration d'intention. La BCE y indique explicitement qu'elle intensifie son intrusivité dans le cadre des évaluations SREP annuelles et des engagements plus ciblés. Si les exigences qualitatives et les échéances associées ne sont pas respectées par les établissements, ou si des lacunes matérielles enfreignant le cadre applicable sont constatées, la situation peut être portée plus loin — jusqu'à l'imposition de mesures coercitives, de sanctions et de majorations de fonds propres. Dans la mesure où l'organe de direction est responsable de la mise en œuvre de dispositifs de gouvernance effectifs et prudents, des déficiences dans ce domaine peuvent également conduire à une réévaluation de l'aptitude des membres responsables, et dans les cas les plus graves, à leur révocation. (Guide BCE, section « Approche prudentielle »)
Dix ans après la publication de BCBS 239, le message de la BCE est donc sans ambiguïté : l'agrégation des données de risque n'est plus un chantier informatique de second rang, mais un sujet de gouvernance suivi au plus haut niveau prudentiel — avec des conséquences directes en cas d'inaction prolongée.
Cet article est établi exclusivement à partir de deux documents : les 14 principes BCBS 239 du Comité de Bâle (janvier 2013) et le Guide RDARR de la BCE (mai 2024), tous deux accessibles sur la page Ressources.