Les rapports financiers relèvent-ils de BCBS 239 ? La réponse de la BCE à l'industrie
À lire le titre de BCBS 239, on pourrait croire que seuls les rapports de risque sont concernés. Mais le Guide RDARR de la BCE inclut explicitement, parmi son périmètre minimal, « les rapports financiers publiés en externe ainsi que les états financiers annuels » (Guide BCE, section 3.2) — un choix qui a suscité l'une des séries de commentaires les plus nourries de toute la consultation publique.
Que recouvre exactement « rapports financiers » ?
Premier point à clarifier : plusieurs répondants (EBF, AFME) ont demandé confirmation que « rapports financiers » désigne les rapports publiés en externe — états financiers annuels et/ou trimestriels — et non les rapports à usage interne (comme le suivi des coûts ou du résultat). La BCE confirme : c'est la bonne interprétation. Une seconde clarification a été apportée sur la fréquence : le Guide visait les rapports « publiés au moins trimestriellement » ; certains répondants (EBF, DZ BANK) ont demandé si cela excluait les états semestriels. La version finale du Guide a été amendée sur ce point précis pour clarifier cette exigence de fréquence. (Document de retour de consultation de la BCE, mai 2024 — Tableau 3, commentaires 30 et 31)
« Une couche redondante » : l'argument de l'industrie
Cinq fédérations et établissements (EBF, EACB, German Banking Industry Committee, DZ BANK, UniCredit Spa) ont contesté l'inclusion des rapports financiers dans le périmètre minimal, pour deux raisons principales. D'abord, une grande partie des principes fondateurs de BCBS 239 s'appliquent déjà, de fait, au processus de reporting financier : de nombreuses réglementations, y compris nationales (la loi 262/2005 en Italie, la norme IDW PS 900 en Allemagne), fixent des standards élevés et des responsabilités claires pour l'organe de direction et la haute direction, et les états financiers sont déjà soumis à des normes comptables strictes et à un audit externe indépendant. Pourquoi, dès lors, élargir le périmètre à des rapports déjà encadrés ? Ensuite, la plupart des principes BCBS 239 s'appliquent déjà implicitement aux états financiers (exactitude, exhaustivité, actualité, exhaustivité des rapports) sans qu'il soit nécessaire de le préciser — tandis que d'autres (adaptabilité, utilité, diffusion) ne sont, selon ces répondants, pas pertinents pour des états financiers. (Document de retour de consultation de la BCE, mai 2024 — Tableau 3, commentaire 32)
La réponse de la BCE : pas une couche nouvelle, une intégration
La BCE ne recule pas, mais recadre le débat. Elle rappelle que l'application des principes BCBS 239 au reporting financier est elle-même reconnue par le Comité de Bâle comme un exemple de gouvernance efficace, et que la BCE l'avait déjà suggéré dans sa lettre aux établissements significatifs du 14 juin 2019. Le point clé de la réponse : là où d'autres processus et mécanismes de contrôle existent déjà pour garantir la qualité du reporting financier, les établissements doivent pleinement intégrer leur dispositif de gouvernance des données aux dispositifs de gouvernance existants — pas construire un système parallèle. Les réglementations s'appliquent au reporting de risque, financier et prudentiel à la fois, et le Guide attend que le dispositif interne de gouvernance des données en tienne compte ; cela n'est pas vu comme entrant en conflit avec les standards, réglementations ou lois existants. (Document de retour de consultation de la BCE, mai 2024 — Tableau 3, commentaire 32)
BCBS 239 distingue déjà données de risque et données comptables
Une nuance soulevée par l'EACB et DZ BANK mérite d'être relevée : BCBS 239 différencie explicitement les données comptables des données de risque, en exigeant que « les contrôles entourant les données de risque soient aussi robustes que ceux applicables aux données comptables » (BCBS 239, Principe 3(a)). Autrement dit, le texte fondateur prend déjà les données comptables comme référence de robustesse à atteindre pour les données de risque — pas comme un périmètre à dupliquer. La BCE confirme que l'application des principes au reporting financier est reconnue à la fois par le Comité de Bâle et par elle-même comme un exemple de gouvernance efficace, tout en rappelant que les données comptables constituent une base significative pour ce reporting — les banques utilisant également les données financières pour piloter l'établissement. (Document de retour de consultation de la BCE, mai 2024 — Tableau 3, commentaire 33)
Le compromis trouvé : réutiliser, ne pas dupliquer
Un commentaire de l'EBF illustre bien la solution retenue : les banques devraient pouvoir s'appuyer sur ou réutiliser les processus de qualité des données déjà en place dans le cadre de l'audit des états financiers. En Allemagne par exemple, l'audit des comptes consolidés est réalisé conformément au paragraphe 317 du Handelsgesetzbuch (HGB), et les banques reçoivent à cette occasion une attestation de leur auditeur externe, publiée dans leur rapport annuel. La réponse de la BCE est sans ambiguïté : les contrôles existants peuvent être utilisés dans la mesure où ils suffisent à garantir la qualité des données — il n'est pas nécessaire de dupliquer des contrôles déjà adaptés à leur objet. Le Guide a été amendé pour clarifier ce point. (Document de retour de consultation de la BCE, mai 2024 — Tableau 3, commentaire 35 — amendement apporté)
Le rapport entier, ou seulement les indicateurs clés qui en découlent ?
Dernier point disputé, soulevé par l'EBF et l'AFME : un rapport financier peut être volumineux, et ses données servent souvent de base à des calculs et analyses complémentaires. Le périmètre doit-il porter sur le rapport financier dans son ensemble, ou sur les seuls indicateurs de risque clés qui en sont dérivés ? La BCE clarifie : le périmètre doit couvrir, a minima, les indicateurs d'appétit pour le risque ainsi que les autres indicateurs clés de risque contenus dans les rapports concernés. Elle prend l'exemple de l'ICAAP : sa perspective normative repose sur des données financières (et réglementaires) — les métriques financières nécessaires à la production des données ICAAP sont donc, elles aussi, attendues dans le périmètre. Aux établissements de définir précisément quels rapports et quels indicateurs de risque entrent dans le périmètre d'application de leur dispositif de gouvernance des données. (Document de retour de consultation de la BCE, mai 2024 — Tableau 3, commentaire 34 — amendement apporté)
Ce qu'il faut retenir
Le débat n'a pas abouti à un retrait des rapports financiers du périmètre RDARR — la BCE a maintenu sa position sur le principe. Mais les clarifications obtenues changent concrètement la donne pour un établissement qui redoute la duplication : pas besoin de bâtir un second dispositif de contrôle qualité en parallèle de l'audit externe existant, à condition que ce dernier soit suffisant ; et le périmètre exact — rapport entier ou indicateurs dérivés — reste à la main de chaque établissement, sur la base d'une analyse au cas par cas.
Cet article est établi à partir de trois documents : les 14 principes BCBS 239 du Comité de Bâle (janvier 2013), le Guide RDARR de la BCE (mai 2024), et le document de retour de la BCE sur la consultation publique du Guide RDARR (mai 2024).