Un plan de remédiation RDARR, à quoi ça ressemble ? Ce qu'attend la BCE

Six des sept domaines du Guide RDARR décrivent ce qu'une banque doit atteindre : gouvernance, périmètre, architecture, qualité, actualité. Le septième et dernier — les programmes de mise en œuvre — porte sur autre chose : comment piloter, concrètement, le chantier qui permet d'y arriver.

Qui doit avoir un programme de mise en œuvre ?

L'idée qu'une mise en œuvre se pilote et se surveille dans la durée n'est pas propre au Guide de 2024 : elle remonte à BCBS 239 lui-même. Dès 2013, le Comité de Bâle précisait que les G-SIB soumises à l'échéance de janvier 2016 étaient censées commencer à progresser vers une mise en œuvre effective des principes dès le début de l'année 2013 — cette progression devant être suivie et évaluée conjointement par les superviseurs nationaux et le Comité de Bâle. (BCBS 239, section « Scope and initial considerations »)

Le Guide RDARR de la BCE rend cette logique de suivi beaucoup plus concrète et détaillée. Les établissements qui ne suivent pas encore les meilleures pratiques décrites dans les principes BCBS 239 doivent mettre en place des mesures de mise en œuvre en conséquence. Un programme de mise en œuvre doit couvrir les lacunes identifiées et traiter les faiblesses détectées, que ce soit via des revues internes ou externes — y compris les inspections sur place (OSI) et les revues à distance menées par la supervision bancaire de la BCE. Ce point n'est pas anodin : il signifie que les constats d'une inspection prudentielle alimentent directement le contenu attendu du plan de remédiation. (Guide BCE, section 3.7)

Ce que doit contenir le plan

Le Guide fixe des attendus précis sur la forme du programme lui-même. Il doit être soutenu par une gouvernance de gestion de projet adéquate, incluant des mesures et des indicateurs permettant de maîtriser les risques d'exécution du projet, ainsi que des ressources matérielles, financières et humaines suffisantes. Les plans de mise en œuvre doivent définir clairement : les actions correctives, les objectifs, les jalons, les rôles, les responsabilités — et, le cas échéant, des actions intermédiaires permettant d'atténuer les faiblesses qui nécessitent un délai de mise en œuvre plus long pour être pleinement traitées. (Guide BCE, section 3.7)

Anticiper les effets de bord

Le Guide demande explicitement que les activités de mise en œuvre prennent en compte leur effet potentiel sur trois éléments : (i) les modèles internes, (ii) les interactions et interdépendances entre l'agrégation des données de risque et l'intégration des dispositifs de reporting financier, et (iii) les stratégies globales métier et informatique (ICT). Le Guide résume l'ambition attendue en une formule : les programmes de mise en œuvre doivent être « ambitieux mais réalisables ». (Guide BCE, section 3.7)

Un suivi périodique, pas un projet lancé puis oublié

Un reporting périodique sur l'avancement des programmes doit être en place, incluant une analyse des obstacles rencontrés, des retards et des autres facteurs pertinents. Ce suivi n'est pas qu'une formalité interne : comme pour les autres domaines du Guide, il est amené à nourrir le dialogue prudentiel avec la BCE. (Guide BCE, section 3.7)

Qui pilote, au sommet

Comme pour le reste du dispositif RDARR, l'organe de direction reste responsable en dernier ressort : il porte la responsabilité du calendrier et des jalons de la mise en œuvre. Les bonnes pratiques de gestion de projet prévoient qu'un ou deux membres de l'organe de direction, dans sa fonction de direction, soient désignés responsables de l'exécution du programme, avec un reporting vers l'organe de direction dans sa fonction de surveillance. Ce dernier demande et reçoit une information régulière sur l'avancement, et évalue puis réagit à tout retard constaté. (Guide BCE, section 3.7)

Une clarification issue de la consultation : peut-on déléguer l'exécution ?

L'EBF a demandé si une délégation depuis l'organe de direction pouvait être autorisée, étant donné que le nombre de programmes à piloter pourrait être significatif dans un grand établissement. La BCE rappelle d'abord le fondement du texte : le paragraphe 31 de BCBS 239 précise que « le conseil doit également être conscient de la mise en œuvre, par la banque, des principes énoncés dans ce document, et de leur respect continu ». Sur la question de la délégation, la position de la BCE est nuancée : elle estime que les comités du conseil devraient soutenir la fonction de surveillance sur des domaines spécifiques, à condition d'une répartition claire des tâches entre comités spécialisés — mais cette délégation à des comités ne libère pas l'organe de direction, dans sa fonction de surveillance, de son obligation de remplir collectivement ses devoirs et responsabilités. Un établissement doit par ailleurs être en mesure de démontrer que, à l'issue de son processus interne de priorisation et de budgétisation, les ressources nécessaires sont disponibles au cas par cas. (Document de retour de consultation de la BCE, mai 2024 — Tableau 8, commentaire 1)

Un second point, plus discret mais révélateur, montre comment la consultation a durci le texte : l'EBF a suggéré de remplacer, au paragraphe 2 de la section 3.7, le verbe « décide » par « est responsable de ». La BCE a accepté cette reformulation — un glissement sémantique qui renforce l'imputabilité de l'organe de direction sur ce point précis. (Document de retour de consultation de la BCE, mai 2024 — Tableau 8, commentaire 4 — amendement apporté)

Ce que la BCE fait de ces programmes, côté supervision

Le Guide ne s'arrête pas à la description des attentes : il précise aussi comment la BCE compte les faire respecter. La supervision bancaire de la BCE s'engage à utiliser l'ensemble de ses outils et pouvoirs prudentiels si les mesures et délais fixés ne sont pas respectés — dans le cadre du SREP, des activités de supervision courantes, des inspections sur place ou des investigations sur les modèles internes. Elle intensifie son intrusivité dans les évaluations SREP annuelles et les engagements plus ciblés, avec un focus renforcé sur la qualité des données du reporting prudentiel. Si les exigences qualitatives et leurs échéances ne sont pas respectées, ou si des lacunes matérielles sont constatées (par exemple des informations inexactes sur des indicateurs clés de risque), la situation peut être portée plus loin — jusqu'à l'imposition de mesures coercitives, de sanctions et de majorations de fonds propres. Les déficiences de gouvernance peuvent aussi conduire à une réévaluation de l'aptitude des membres responsables, et dans les cas les plus graves, à leur révocation. (Guide BCE, section 4)

La BCE mentionne également un outil de supervision spécifique : le « Management Report on Data Governance and Data Quality », un rapport consolidant la mesure de la qualité des données, où les établissements répondent à des questions ouvertes — avec la signature d'au moins un membre de l'organe de direction, pour renforcer davantage encore l'imputabilité au sommet. (Guide BCE, section 4)

Ce qu'il faut retenir

Un programme de mise en œuvre RDARR n'est donc pas un simple document d'intention. C'est un objet que le Guide encadre presque autant que les capacités RDARR elles-mêmes : gouvernance de projet dédiée, jalons documentés, responsable identifié au sein de l'organe de direction, reporting périodique — et un rappel explicite que la délégation à des comités ne dilue jamais la responsabilité collective au sommet.

Cet article est établi à partir de trois documents : les 14 principes BCBS 239 du Comité de Bâle (janvier 2013), le Guide RDARR de la BCE (mai 2024), et le document de retour de la BCE sur la consultation publique du Guide RDARR (mai 2024).