Principes BCBS 239 - Comité de Bâle, janvier 2013

La gouvernance des capacités d'agrégation des données de risque et des pratiques de reporting doit être soumise à des dispositifs de gouvernance solides, cohérents avec les autres principes et lignes directrices établis par le Comité de Bâle.

• Le conseil et la direction générale doivent promouvoir l'identification, l'évaluation et la gestion des risques liés à la qualité des données, avec des normes de niveau de service pour les processus internes et externalisés, et des politiques de confidentialité, d'intégrité et de disponibilité des données.
• Le conseil et la direction générale doivent examiner et approuver le dispositif d'agrégation et de reporting du groupe, et s'assurer que des ressources adéquates y sont consacrées.
• Les capacités doivent être entièrement documentées et soumises à une validation indépendante de haut niveau, menée par du personnel disposant d'une expertise IT, données et reporting spécifique.
• Elles doivent être prises en compte lors de toute nouvelle initiative : acquisitions, cessions, nouveaux produits, changements de processus ou de systèmes IT. En cas d'acquisition significative, le conseil doit évaluer explicitement l'impact sur les capacités d'agrégation avant de décider.
• La structure du groupe ne doit pas entraver l'agrégation des données à un niveau consolidé ni à un niveau pertinent (sous-consolidé, juridiction) : les capacités doivent rester indépendantes des choix d'organisation juridique et géographique.
• La direction générale doit être pleinement consciente des limites empêchant une agrégation complète — en termes de couverture, sur le plan technique ou sur le plan juridique — et veiller à ce que la stratégie IT prévoie des solutions.
• Le conseil est responsable de déterminer ses propres besoins de reporting et doit connaître les limites des rapports qu'il reçoit, ainsi que l'état de conformité de la banque aux principes.

La banque doit concevoir, construire et maintenir une architecture des données et une infrastructure IT qui soutiennent pleinement ses capacités d'agrégation des données de risque et ses pratiques de reporting, non seulement en temps normal mais aussi en période de tensions ou de crise, tout en respectant les autres principes.

• Les capacités d'agrégation et de reporting doivent être directement prises en compte dans la planification de la continuité d'activité et faire l'objet d'une analyse d'impact.
• La banque doit établir des taxonomies et une architecture de données intégrées à l'échelle du groupe, incluant les métadonnées (caractéristiques des données), ainsi que des identifiants uniques et/ou des conventions de nommage harmonisées pour les entités juridiques, contreparties, clients et comptes.
• Les banques n'ont pas nécessairement besoin d'un modèle de données unique, mais doivent disposer de procédures de rapprochement automatisées robustes lorsque plusieurs modèles coexistent.
• Les rôles et responsabilités relatifs à la propriété et à la qualité des données doivent être établis pour les fonctions métier et IT. Les propriétaires, en partenariat avec les gestionnaires de risques, doivent garantir des contrôles adéquats tout au long du cycle de vie de la donnée et de l'infrastructure technologique.

La banque doit être capable de générer des données de risque exactes et fiables, répondant aux exigences de précision en temps normal comme en période de tensions/crise. Les données doivent être agrégées sur une base largement automatisée, afin de réduire au minimum la probabilité d'erreurs.

• Les contrôles portant sur les données de risque doivent être aussi robustes que ceux applicables aux données comptables.
• Lorsque la banque recourt à des processus manuels et à des applications bureautiques (tableurs, bases de données), elle doit mettre en place des mesures d'atténuation efficaces (politiques de « end-user computing ») et des contrôles appliqués de façon cohérente.
• Les données de risque doivent être rapprochées des sources de la banque, y compris comptables lorsque cela est pertinent, afin d'en garantir l'exactitude.
• La banque doit tendre vers une source unique faisant autorité pour chaque type de risque.
• Le personnel en charge des risques doit disposer d'un accès suffisant aux données pour pouvoir les agréger, les valider et les rapprocher des rapports de risque.
• Un « dictionnaire » des concepts utilisés doit garantir une définition cohérente des données dans toute l'organisation.
• Un équilibre approprié doit être trouvé entre systèmes automatisés et manuels : l'intervention humaine peut se justifier lorsqu'un jugement professionnel est requis, mais un degré d'automatisation plus élevé est souhaitable pour réduire le risque d'erreurs.
• Tous les processus d'agrégation, automatisés ou manuels, doivent être documentés et expliqués, y compris la pertinence des contournements manuels et leur criticité pour l'exactitude des données.
• Les superviseurs attendent des banques qu'elles mesurent et surveillent l'exactitude des données et mettent en place des canaux d'escalade et des plans d'action pour corriger une qualité de données insuffisante.

La banque doit être capable de saisir et d'agréger l'ensemble des données de risque significatives à travers le groupe bancaire. Les données doivent être disponibles par ligne d'activité, entité juridique, type d'actif, secteur, région et autres regroupements pertinents, afin de permettre l'identification et le reporting des expositions, concentrations et risques émergents.

• Les capacités d'agrégation doivent couvrir toutes les expositions de risque significatives, y compris les engagements hors bilan.
• La banque n'est pas tenue d'exprimer toutes les formes de risque dans une métrique commune, mais chaque système doit expliciter clairement l'approche utilisée pour agréger les expositions, afin de permettre au conseil et à la direction générale d'apprécier correctement les résultats.
• Les superviseurs attendent que les données produites soient matériellement complètes ; toute exception doit être identifiée et expliquée.

La banque doit être capable de générer des données de risque agrégées et à jour en temps voulu, tout en respectant les principes d'exactitude, d'intégrité, d'exhaustivité et d'adaptabilité. Le délai précis dépend de la nature et de la volatilité potentielle du risque mesuré, de sa criticité pour le profil de risque global, ainsi que des exigences de fréquence propres à chaque banque, en situation normale comme en période de tensions.

• Différents types de données doivent pouvoir être produits à des vitesses différentes ; certaines données de risque peuvent être nécessaires plus rapidement en situation de crise.
• Les banques doivent construire leurs systèmes de manière à pouvoir produire rapidement des données de risque agrégées en période de tensions pour tous les risques critiques.
• Exemples de risques critiques cités : l'exposition de crédit agrégée à un grand emprunteur corporate ; les expositions de risque de contrepartie (dérivés notamment) ; les expositions de trading, positions, limites opérationnelles et concentrations de marché par secteur et région ; les indicateurs de risque de liquidité (flux de trésorerie, financement) ; les indicateurs de risque opérationnel critiques dans le temps (disponibilité des systèmes, accès non autorisé).

La banque doit être capable de générer des données de risque agrégées pour répondre à un large éventail de demandes de reporting ponctuelles, y compris en période de tensions/crise, en réponse à des besoins internes évolutifs, ou pour répondre à des demandes prudentielles.

• Cela suppose des processus d'agrégation flexibles, permettant une évaluation et une prise de décision rapides.
• Des capacités de personnalisation aux besoins des utilisateurs (tableaux de bord, points clés, anomalies) et de forage (drill-down) pour produire rapidement des rapports de synthèse.
• La capacité à intégrer les évolutions de l'organisation de l'activité et/ou les facteurs externes qui influencent le profil de risque.
• La capacité à intégrer les changements du cadre réglementaire.
• Exemple donné : la banque doit pouvoir agréger rapidement ses expositions de crédit par pays à une date donnée, à partir d'une liste de pays, ainsi que ses expositions de crédit par secteur, sur l'ensemble des lignes métier et zones géographiques.

Les rapports de gestion des risques doivent transmettre de façon exacte et précise les données de risque agrégées et refléter le risque de manière exacte. Les rapports doivent être rapprochés et validés.

• Pour garantir l'exactitude, la banque doit disposer au minimum : d'exigences et de processus définis pour rapprocher les rapports des données de risque sous-jacentes ; de contrôles automatisés et manuels de cohérence et de vraisemblance, avec un inventaire des règles de validation appliquées ; de procédures intégrées pour identifier, signaler et expliquer les erreurs de données ou les faiblesses d'intégrité via des rapports d'exception.
• Les approximations (résultats de modèles, analyses de scénarios, tests de résistance) font partie intégrante du reporting et de la gestion des risques ; des exigences de fiabilité doivent néanmoins être établies pour ces approximations.
• La direction générale doit fixer des exigences d'exactitude et de précision pour le reporting normal et pour le reporting en période de tensions/crise, y compris pour les informations critiques de position et d'exposition.
• Les superviseurs attendent des banques qu'elles envisagent des exigences d'exactitude analogues au concept de matérialité comptable : si une omission ou une inexactitude peut influencer les décisions de risque des utilisateurs, elle peut être considérée comme significative.

Les rapports de gestion des risques doivent couvrir l'ensemble des domaines de risque significatifs de l'organisation. La profondeur et la portée de ces rapports doivent être cohérentes avec la taille et la complexité des activités et du profil de risque de la banque, ainsi qu'avec les besoins des destinataires.

• Les rapports doivent inclure les expositions et positions pour tous les domaines de risque significatifs (crédit, marché, liquidité, opérationnel) et leurs composantes principales (nom, pays, secteur pour le risque de crédit par exemple), ainsi que les mesures de risque associées (capital réglementaire et économique).
• Ils doivent identifier les concentrations de risque émergentes, replacer l'information dans le contexte des limites et de l'appétit pour le risque, et proposer des recommandations d'action lorsque cela est pertinent.
• Ils doivent indiquer le statut des mesures décidées par le conseil ou la direction générale pour réduire un risque ou traiter une situation de risque spécifique, y compris la capacité à suivre les tendances émergentes via des prévisions et des tests de résistance prospectifs.
• Les superviseurs attendent que les rapports fournissent une évaluation prospective du risque, et pas uniquement des données passées ou présentes.

Les rapports de gestion des risques doivent communiquer l'information de façon claire et concise. Ils doivent être faciles à comprendre tout en étant suffisamment complets pour faciliter une prise de décision éclairée, et inclure une information pertinente adaptée aux besoins des destinataires.

• Les rapports doivent présenter un équilibre approprié entre données de risque, analyse, interprétation, et explications qualitatives ; plus on s'élève dans l'organisation, plus le degré d'agrégation — et donc d'interprétation qualitative — est important.
• Les politiques et procédures de reporting doivent reconnaître les besoins d'information différents du conseil, de la direction générale et des autres niveaux de l'organisation (comités de risque notamment).
• Le conseil, destinataire clé, est responsable de déterminer ses propres besoins de reporting et doit s'assurer qu'il reçoit une information lui permettant de remplir son mandat de gouvernance ; il doit alerter la direction générale si les rapports ne répondent pas à ses exigences.
• La direction générale est également responsable de déterminer ses propres besoins de reporting pour remplir son mandat de gestion.
• La banque doit développer un inventaire et une classification des éléments de données de risque, incluant une référence aux concepts utilisés pour élaborer les rapports.
• Les superviseurs attendent que la banque confirme périodiquement auprès des destinataires que l'information agrégée et rapportée est pertinente et appropriée, en quantité comme en qualité.

Le conseil et la direction générale (ou d'autres destinataires selon le cas) doivent fixer la fréquence de production et de diffusion des rapports de gestion des risques. Ces exigences doivent refléter les besoins des destinataires, la nature du risque rapporté et la vitesse à laquelle il peut évoluer, ainsi que l'importance des rapports pour une gestion des risques saine et une prise de décision efficace. La fréquence des rapports doit augmenter en période de tensions/crise.

• La fréquence des rapports varie selon le type de risque, l'objectif poursuivi et les destinataires.
• La banque doit évaluer périodiquement l'objectif de chaque rapport et fixer des exigences de délai de production, en situation normale comme en période de tensions/crise.
• Elle doit tester régulièrement sa capacité à produire des rapports exacts dans les délais établis, en particulier en situation de tensions/crise.
• Les superviseurs attendent qu'en période de tensions/crise, l'ensemble des rapports critiques de position/exposition en matière de crédit, de marché et de liquidité soient disponibles dans un délai très court pour permettre une réaction efficace ; certaines informations peuvent devoir être disponibles immédiatement (intrajournalier).

Les rapports de gestion des risques doivent être diffusés aux parties concernées, tout en garantissant le respect de la confidentialité.

• Des procédures doivent permettre une collecte et une analyse rapides des données de risque, ainsi qu'une diffusion des rapports en temps voulu à l'ensemble des destinataires appropriés, en équilibrant cette rapidité avec les exigences de confidentialité.
• Les superviseurs attendent que la banque confirme périodiquement que les destinataires concernés reçoivent effectivement leurs rapports en temps voulu.

Les superviseurs doivent examiner et évaluer périodiquement la conformité de la banque aux onze principes précédents.

• Les revues doivent être intégrées au programme régulier d'examen prudentiel et peuvent être complétées par des revues thématiques couvrant plusieurs banques sur un thème donné.
• Les superviseurs peuvent tester la conformité par des demandes d'information ponctuelles à délai court, portant sur des questions de risque sélectionnées, afin d'évaluer la capacité de la banque à agréger rapidement des données et produire des rapports.
• Les superviseurs doivent s'appuyer sur les revues menées par les auditeurs internes ou externes pour éclairer leur évaluation de la conformité, et peuvent exiger des travaux menés par la fonction d'audit interne de la banque ou par des experts indépendants.
• Ils doivent tester les capacités d'agrégation et de production de rapports à la fois en situation de tensions/crise et en régime de fonctionnement normal, y compris en cas de hausse brutale des volumes d'activité.

Les superviseurs doivent disposer des outils et ressources appropriés pour exiger des actions correctives efficaces et rapides de la part d'une banque afin de remédier aux défaillances de ses capacités d'agrégation des données de risque et de ses pratiques de reporting. Ils doivent pouvoir recourir à un éventail d'outils, dont le Pilier 2.

• Les outils disponibles incluent notamment : exiger une action corrective ; renforcer l'intensité de la supervision ; exiger une revue indépendante par un tiers tel qu'un auditeur externe ; et recourir éventuellement à des majorations de fonds propres au titre du Pilier 2, à la fois comme mesure d'atténuation du risque et comme incitation.
• Les superviseurs doivent pouvoir fixer des limites sur les risques d'une banque ou sur la croissance de ses activités lorsque des défaillances d'agrégation et de reporting sont jugées à l'origine de faiblesses significatives de gestion des risques.
• Pour les nouvelles initiatives, les superviseurs peuvent exiger que les plans de mise en œuvre d'une banque garantissent une agrégation robuste avant d'autoriser une nouvelle activité ou une acquisition.
• Lorsqu'un superviseur exige une action corrective, il doit fixer un calendrier d'exécution et disposer de procédures d'escalade pour exiger une action plus stricte ou accélérée si la banque ne traite pas adéquatement les défaillances identifiées.

Les superviseurs doivent coopérer avec les autorités de supervision compétentes des autres juridictions concernant la supervision et l'examen des principes, ainsi que la mise en œuvre de toute action corrective si nécessaire.

• Une coopération efficace et un partage d'informations appropriés entre autorités d'origine (« home ») et d'accueil (« host ») doivent contribuer à la robustesse des pratiques de gestion des risques d'une banque à travers ses opérations dans plusieurs juridictions.
• Cette coopération peut prendre la forme d'un partage d'informations dans les limites des lois applicables, ainsi que de discussions bilatérales ou multilatérales, notamment via des collèges de superviseurs, réunions régulières, appels et échanges de courriels.
• Les superviseurs doivent échanger sur la qualité des capacités d'agrégation dans les différentes parties du groupe, y compris sur les éventuels obstacles transfrontaliers, afin d'identifier rapidement les préoccupations significatives et d'y répondre efficacement.