Guide RDARR — BCE, mai 2024
Ce guide de la Banque centrale européenne complète les 14 principes BCBS 239 : ce n'est pas un cinquième pilier, mais un document distinct détaillant les attentes prudentielles minimales de la BCE envers les établissements sous sa supervision directe.
Guide de la BCE sur le RDARR — mai 2024
En 2016, la BCE a mené une revue thématique sur 25 établissements significatifs, en s'appuyant sur les principes BCBS 239. Le rapport de 2018 a constaté qu'aucun d'entre eux, y compris les établissements d'importance systémique mondiale, ne respectait pleinement ces principes. Après une lettre adressée en 2019 à tous les établissements significatifs pour exiger des progrès, la BCE a publié en mai 2024 un guide détaillant sept attentes prudentielles minimales, qui viennent préciser la mise en œuvre des principes du Comité de Bâle — sans s'y substituer.
L'organe de direction doit assumer la pleine responsabilité de la qualité et de la gouvernance des données de risque, faire du RDARR une priorité dotée de ressources suffisantes, superviser les programmes de remédiation, désigner un ou deux de ses membres responsables du dispositif de gouvernance des données, et s'assurer que ses membres et les responsables des fonctions de contrôle interne possèdent une connaissance suffisante de la gestion des données, de l'informatique et des risques associés.
Réf. Guide BCE, section 3.1 · CRD art. 88(1)Le dispositif de gouvernance des données doit couvrir toutes les entités juridiques significatives, tous les risques et lignes d'activité, ainsi que l'ensemble du cycle de vie de la donnée. Il doit à minima englober les rapports de risque internes, les rapports financiers publiés, les rapports prudentiels (FINREP/COREP, tests de résistance, Pilier 3), les modèles internes clés et les indicateurs clés de risque.
Réf. Guide BCE, section 3.2Chaque établissement doit définir des propriétaires de données responsables des indicateurs clés de risque, une fonction centrale de gouvernance des données, une fonction de validation indépendante en deuxième ligne de défense, et une fonction d'audit interne en troisième ligne de défense assurant des revues périodiques indépendantes.
Réf. Guide BCE, section 3.3 — trois lignes de défenseUne architecture des données intégrée et documentée doit être mise en œuvre au niveau du groupe, incluant des taxonomies de données (dictionnaire, référentiel de métadonnées), des règles de validation, ainsi qu'une traçabilité (data lineage) complète et à jour au niveau de chaque attribut de donnée, depuis la capture jusqu'au reporting.
Réf. Guide BCE, section 3.4Des politiques de qualité des données doivent couvrir au minimum l'exactitude, l'intégrité, l'exhaustivité et l'actualité, avec des contrôles automatisés, des indicateurs de qualité, un registre des anomalies avec analyse de cause racine, l'intégration des outils développés par les utilisateurs finaux, et la prise en compte des risques de qualité des données dans l'ICAAP.
Réf. Guide BCE, section 3.5La fréquence et le délai de production des rapports doivent permettre une réaction en temps utile. La BCE considère qu'un rapport mensuel ou trimestriel nécessitant plus de 20 jours ouvrés de production ne permet généralement pas une réaction adaptée ; certains établissements observés nécessitaient 40 jours ouvrés ou plus.
Réf. Guide BCE, section 3.6 — repère : 20 jours ouvrésLes établissements qui ne suivent pas encore les bonnes pratiques BCBS 239 doivent mettre en place des programmes de remédiation dotés d'une gouvernance de projet adéquate, avec actions correctives, cibles, jalons, rôles et responsabilités clairement définis, sous la supervision d'un ou deux membres de l'organe de direction.
Réf. Guide BCE, section 3.7