Règlementation risques – Perspectives 2017 au regard du chemin parcouru
Règlementation risques – Perspectives 2017 au regard du chemin parcouru
Si vous êtes un peu perdus dans tous ces sigles (NPE/FBE, SA CCR, FRTB…), suivez-nous pour les repositionner sur ce long chemin de la maîtrise des risques !
Vous ne pouvez pas avoir échappé aux publications bâloises (les 3 piliers de Bâle 2 … Bâle 3 avec notamment LCR et NSFR … BCBS 239 …) mais savez-vous ce qui a marqué chaque étape de ce long chemin depuis le « Ratio Cooke » ? Avez-vous suivi tous les enjeux qui ont marqué chaque nouvelle directive majeure ? Et avez-vous une idée claire de ce qui est déjà inscrit à la liste des exigences réglementaires pour 2017 ?
Si vous êtes un peu perdus dans tous ces sigles (NPE/FBE, SA CCR, FRTB…), suivez-nous pour les repositionner sur ce long chemin de la maîtrise des risques !
Les principaux jalons
Sans entrer dans le détail des nombreuses directives intermédiaires, nous vous proposons ci-dessous une synthèse des principales étapes, avec leurs objectifs et leurs débouchés :
1988 – Bâle I
Objectif : Assurer la stabilité du système bancaire international en fixant un ensemble d’exigences de fonds propres minimales pour les banques (afin de faire face à d’éventuelles pertes). Principalement axé sur le risque de crédit (risque de non remboursement associé à un prêt accordé par une banque) : Ratio Cooke : les banques doivent financer 8% de leurs actifs pondérés avec des fonds propres.
2004 – Bâle II
Objectifs : Elargir la gamme des risques couverts. Améliorer la méthode de calcul des coefficients de pondération des risques, pour refléter plus finement la nature (et l’importance relative) du risque. Mise en place des 3 piliers : Pilier 1 – Exigences minimales de fonds propres Ratio Mc Donough : nouveau ratio qui affine le précédent en imposant aux établissements de crédit de détenir un niveau de fonds propres minimum d’avantage en adéquation avec les risques encourus (prise en compte des risques de marché et opérationnel, en plus du risque de crédit). Exigences supplémentaires en matière de composition et de qualité des fonds propres. Pilier 2 – Procédure de surveillance prudentielle Organiser un dialogue structuré entre les superviseurs bancaires et les établissements financiers placés sous leur contrôle. Pilier 3 – Discipline de marché Instaurer des règles de transparence financière sur l’état des risques et la façon de les mesurer.
2010 – Bâle III
Objectif : Tirer les conséquences des insuffisances de la réglementation Bâle II face à la crise financière de 2007/2008. Modifications apportées aux 3 piliers : Pilier 1 – Exigences minimales de fonds propres Renforcement des exigences de fonds propres : composition du noyau dur des fonds propres de base définie plus strictement et mise en place de mesures contra-cycliques (globalement, le ratio minimum passe de 8 à 10,5%). Introduction d’un ratio d’effet de levier : plafond de 3% (fonds propres Tier 1 / Total des actifs non pondérés du risque). Pilier 2 – Procédure de surveillance prudentielle Gestion du risque de liquidité avec mise en place de 2 ratios de liquidité (afin de disposer de suffisamment d’actifs liquides pour couvrir les besoins en cas de difficultés de financement) : un ratio de liquidité à court terme (LCR = Liquidity Coverage Requirement), un ratio de liquidité à long terme (NSFR = Net Stable Funding Ratio). Pilier 3 – Discipline de marché Renforcement de la communication financière.
2013–BCBS 239
Objectifs : Renforcer la capacité des banques à agréger les données risques. Améliorer les pratiques de reportings des risques à l’intérieur des établissements. 11 principes concernent les établissements d’importance systémique, sur les 3 domaines suivants : Gouvernance et infrastructure è bénéficier d’un dispositif solide. Capacités d’agrégation des données sur les risques è donner une représentation fiable des risques. Amélioration des pratiques des reportings risques è présenter les bonnes informations aux bons destinataires au bon moment. 3 principes concernent les régulateurs, sur le domaine suivant : Surveillance prudentielle, outils et coopération entre autorités de contrôle è assurer le respect et l’application des principes précédents par les banques systémiques (G-SIBs).
Et maintenant ?
Force est de constater que les réglementations dépassent à présent la définition des ratios, pour affiner les méthodes de calcul en fonction des enjeux, mais aussi s’intéresser à la pertinence des données et des processus de production des reportings.
Dans cette double perspective, le chemin se poursuit à l’horizon 2019, avec une liste bien fournie (non exhaustive) de jalons :
Poursuite de la mise en place de Bâle III, dont NPE/FBE (Non Performing Exposure / Forborne Exposure) : contrôle que les actifs les plus risqués, comme les créances douteuses ou non performantes, soient correctement valorisés et que les provisions soient suffisantes pour faire face aux impayés ;
Poursuite de la mise en place de BCBS 239 et de BCBS 242 (exigences de marge pour les dérivés sans compensation centrale) ;
Finalisation de SA CCR (Standardized Approach for measuring Counterparty Credit Risk exposure) : refonte de la méthode standard pour le calcul du CCR ;
Finalisation de FRTB (Fundamental Review of the Trading Book) : réforme majeure du dispositif de la mesure du risqué de marché ;
IFRS 9 (International Financial Reporting Standards) : mise en place de nouvelles normes de comptabilisation ; cette nouvelle façon de comptabiliser les instruments financiers (du crédit aux produits structurés) va avoir un impact sur les stratégies de gestion des risques, bien au-delà du département comptable des Banques ;
ANACREDIT (Analytical Credit Datasets) : mise en place d’un registre central de risque de crédit des banques européennes, afin d’analyser le processus de crédit et l’exposition du secteur financier européen.
Pour en savoir plus sur le Comité de Bâle…
Contexte
A la suite des différentes crises financières, de nombreuses évolutions d’ordre réglementaire se sont imposées aux établissements financiers. C’est dans ce cadre qu’est né le Comité de Bâle, en 1974.
Composition et fonctionnement
Comité de Bâle sur le contrôle bancaire, en anglais Basel Committee on Banking Supervision (BCBS).
Il s’agit d’une institution créée en 1974 par les gouverneurs des banques centrales des pays du « groupe des Dix » (le G10).
Le comité est hébergé à Bâle par la BRI (Banque des Règlements Internationaux), en anglais BIS (Bank of International Settlements).
Missions
Les objectifs principaux du comité sont les suivants :
Renforcement de la sécurité et de la fiabilité du système financier.
Etablissement de standards minimaux en matière de contrôle prudentiel.
Promotion de la coopération internationale en matière de contrôle prudentiel.
Diffusion et promotion des meilleures pratiques bancaires et de surveillance.
Le comité de Bâle ne possède pas d’autorité, ses conclusions n’ont pas force de loi : l’accord ne contient que des recommandations, à charge de chaque état de les transposer dans son droit propre et de les appliquer (engagement moral de la part des membres du comité).
Couverture géographique
Le comité est aujourd’hui composé de représentants des autorités de supervision bancaire et de banques centrales de 27 pays développés ou émergents.
Ses recommandations sont devenues « un standard prudentiel », adoptées par plus de 100 pays dans le monde.
Le reporting AnaCredit sera prochainement obligatoire pour chaque institution de crédit d’un pays de la zone euro, cela inclut aussi leurs succursales quel que soit leur lieu d’implantation.
Ainsi, sont concernées :
Etablissement de crédit résident ainsi que leurs succursales étrangères hors zone euro
Les filiales d’établissement de crédits étrangers résidentes
Les succursales des établissements de crédit à condition que celles-ci soient résidentes dans un Etat membre de la zone euro
La déclaration s’effectuera auprès de la banque centrale nationale (BCN) compétente (qui ensuite va transmettre ces données à la Banque centrale européenne).
Par exemple, pour une succursale italienne d’une banque française, les données de la succursale devront être déclarées dans le reporting de l’entité juridique à la Banque de France mais aussi auprès de la Banque d’Italie dans le cadre du reporting de la succursale.
En conséquence, lorsque l’entité juridique et sa succursale étrangère résident dans la zone euro, cela représente une problématique pour les institutions :
Un « Double reporting » certain
Un risque de déphasage des deux déclarations tant du point de vue du nombre de données à fournir (95 données demandées par la BCE mais 79 données après mutualisation au minimum) que sur la qualité de la donnée (Définition différente dans le contenu de certains champs selon le pays. ex : calcul du Forborne)
Afin d’éviter ce « double reporting », la BCE prévoit des possibilités de contournement afin de minimiser ou supprimer cette charge pour des établissements de crédits internationaux :
La Banque Centrale nationale compétente de l’entité juridique pourrait décider de ne pas collecter, ou seulement une partie, des données listées dans le template 1 de l’entité juridique quand ces « instruments » sont détenues par la succursale.
La Banque centrale nationale compétente de la succursale peut décider de ne pas collecter, ou seulement une partie, des données listés dans le template 2 depuis la succursale.
Par ailleurs au niveau français, la Banque de France lance des actions de rationalisation : sur les collectes de succursales zone euro ou des suppressions de duplication entre les données BCBS 239 et AnaCredit (en cours).
D’autres évolutions AnaCrédit à suivre dans nos prochaines publications…
Aliados Conseils rejoint Rhapsodies Conseil pour consolider l’expertise Risk, Regulation & Compliance (2RC). La nouvelle entité sera co-animée par nos deux Seniors Managers Lionel Andreu et Patrick Rose, au sein du pôle Expertise Paiements et Risques.
« Dans le cadre de notre expansion et afin de répondre à la demande de nos clients, soumis à l’évolution croissante de la réglementation dans le secteur financier : BCBS239, Anacredit, IFRS9, FATCA/CRS, 4ème Directive TracFin…, l’arrivée d’Aliados Conseils, avec qui nous avions déjà une relation de partenariat, complète notre capacité d’intervention, de la veille réglementaire jusqu’aux procédures opérationnelles et à la production des reportings. » déclare Patrick Rose, Senior Manager de Rhapsodies Conseil.
« Le rapprochement et la fusion des équipes Aliados & Rhapsodies sur les thèmes majeurs du Risques et du Cash Management va permettre d’élargir notre offre auprès de nos clients et de proposer une diversité d’intervention à nos collaborateurs. Aliados était à la recherche d’un partenaire sérieux mais audacieux depuis plusieurs mois, avec l’équipe Rhapsodies nous sommes désormais parés pour faire face à une forte demande dans le domaine bancaire et des interventions de transformation des SI.» déclare Lionel Andreu, Fondateur d’Aliados Conseils.
« Le Rapprochement avec Aliados Conseils représente une étape importante dans notre stratégie de croissance et affirme notre position sur nos segments de marché. Par l’apport d’expertises complémentaires, ce rapprochement nous permet de proposer une offre complète autour des Risques, du Réglementaire et de la Conformité, laquelle améliore encore notre proposition de valeur pour procurer à nos clients compétences et capacités d’innovation dans ce domaine hautement stratégique à l’ère numérique. » déclare Olivier Barthélemy, Président de Rhapsodies Conseil
A propos d’Aliados Conseil Aliados Conseils est un cabinet de conseil spécialisé en Corporate Finance, Cash Management, Capital Market, Regulatory Reporting, Risk – Ratios. Basé à Paris, Aliados Conseils fournit aux directions financières et aux lignes métiers des établissements Private Banking, Middle Banks et Corporate internationaux, les compétences d’experts indispensables aux exigences réglementaires et commerciales.
A propos de Rhapsodies Conseil Rhapsodies Conseil, cabinet indépendant de conseil en management créé en 2006, accompagne les programmes de transformation stratégiques de ses clients et leur mise en œuvre opérationnelle dans 3 pôles d’expertise choisis :
Architecture & Transformation,
Expertise Paiements & Risques,
Sourcing & Performance Economique.
Forts de nos 80 collaborateurs et de notre large expérience, nous intervenons au quotidien auprès des Grands Comptes dans différents secteurs d’activité, banques, assurances, industrie, luxe…
Le service Cloud d’Amazon, AWS, a été victime récemment d’une panne majeure de son service de stockage simple nommé S3. Cette brique technique est très populaire et répandue pour implémenter des applications ou services hébergés chez AWS. Pour vous donner une idée de l’ampleur de son utilisation depuis son lancement en 2006, ce service permet aujourd’hui de stocker des dizaines de milliards d’objets. D’autres briques techniques chez Amazon peuvent s’appuyer sur ce stockage pour fonctionner comme le service Elastic Compute (EC2), Elastic Block Shop et Lambda. Cette panne de service a eu donc pour effet d’engendrer des perturbations majeures pour plusieurs applications hébergées chez AWS :
La messagerie instantanée Slack
Le service de stockage en ligne Box
Le service de livraison des pizzas Dominos
Les sites web communautaires Reddit et BuzzFeed
Heureusement la cause de l’incident a vite été repérée et corrigée par l’hébergeur. En revanche, elle a tout de même engendré des indisponibilités de plusieurs heures pour certaines de ces applications. Est-ce que les entreprises ayant pris la décision de faire appel à du Cloud Public doivent pour autant entrer en mode panique et rapatrier leurs applications et données chez eux ? La réponse est NON bien entendu. Amazon a rapidement communiqué que la nature de la panne du service S3 était due à une erreur humaine déclenchée par un employé ayant toutes les autorisations et qui aurait soumis une commande manuelle avec de mauvais paramètres. De plus, l’impact de la panne se limitait uniquement au « datacenter » de la région Virginie située sur la côte Est des Etats-Unis. Une telle erreur aurait pu donc se produire n’importe où, chez n’importe quel fournisseur d’hébergement y compris dans vos propres « datacenters ».
Cet incident nous rappelle seulement qu’il ne faut pas se fier uniquement à la résilience de la couche infrastructure Cloud, même chez le leader du marché, pour garantir une haute-disponibilité. Il est bon de rappeler ici que les engagements de service (SLA) pour la brique S3 ne sont que de 99,99%. Ceci signifie tout de même une indisponibilité potentielle de 87,5 heures pour une année ! Le fournisseur de service de vidéo en ligne Netflix est aussi hébergé chez AWS et il a pourtant été épargné par la panne du service S3. Une étude réalisée en interne en 2014 avait permis d’estimer une perte de 200 000$ de chiffre d’affaires pour une heure d’arrêt de la plateforme. Nous pouvons donc estimer qu’en 2017 le coût total d’une panne de 4 heures aurait pu leur coûter plus d’1 million de dollars. Ceci est sans compter l’impact négatif sur la réputation et image auprès de leurs usagers qu’une telle panne aurait pu occasionner . En tenant compte de ces besoins, les architectes techniques de Netflix ont conçu une architecture cloud résiliente basée sur plusieurs zones AWS. Ceci leur permet donc d’éviter toute perte de service en cas de panne ou incident et d’avoir un meilleur SLA que les 99,99% promis par le fournisseur.
L’impact financier de l’arrêt de votre application métier est probablement moindre que celui de Netflix. Vous n’avez peut-être pas non plus un fournisseur Cloud ayant plusieurs « datacenters » dans différentes régions comme peut l’offrir AWS. Pour autant déployer vos applications sur du Cloud Computing ne vous affranchit pas du tout des services d’un architecte technique, au contraire ! Celui-ci, s’il déroule une démarche prenant compte des besoins métiers et des exigences non fonctionnelles, saura vous proposer des scénarios d’architectures résilientes. L’architecture finale sera plus chère et complexe sans doute. Il ne faut pas oublier dans ce cas d’estimer l’impact et la probabilité d’une perte de service avant d’évaluer si ces coûts supplémentaires en valent la chandelle.
Sources d’information pour incident AWS S3 survenu en mars 2017 :
Déployer des applications Saas sur Cloud Public est devenu très populaire chez certaines Directions Métiers en France. Tout ceci pourrait être amené à changer avec la nouvelle directive Européenne (GDPR) sur la protection des données personnelles qui entrera en vigueur en 2018. En effet cette réglementation exige une très forte gouvernance des fournisseurs hébergeant ces données. Le risque de recevoir une pénalité de 4% de son chiffre d’affaire mondial en cas de non-conformité pourrait donc inciter certaines Entreprises à demander à leur DSI de reprendre l’initiative.
Ce n’est donc pas un hasard de calendrier si l’ANSSI (Agence Nationale de la sécurité des systèmes d’information) a créé conjointement avec son homologue allemand (BSI) un nouveau label nommé European Secure Cloud (ESCloud). Une première version du référentiel des exigences a été publiée en décembre 2016. Elles couvrent les aspects suivants :
Mener une politique de sécurité en regard d’analyse de risques. Celle-ci devant être faite périodiquement pour une même application.
Avoir un responsable de sécurité de l’information, un responsable de la donnée personnelle et un responsable de la sécurité physique de ses installations.
Avoir un plan de sensibilisation à la sécurité au niveau ressources humaines : charte éthique, formation, gestion et capitalisation de la connaissance.
Avoir une politique de contrôle et droits d’accès pour ses bâtiments et certaines zones plus sensibles.
Avoir une cartographie de son SI au niveau infrastructure à jour.
Encrypter les données sensibles et chiffrer les flux. Hacher les mots de passes pour ne pas qu’ils soient accessible en clair.
Avoir une politique de sécurité pour prévenir et surveiller les failles: journaux d’évènements horodatés, analyse du code source si possible, tests d’intrusion fréquents, …
Avoir une politique de gestion des incidents de sécurité y compris de manière préventive.
Avoir une convention et un respect des engagements avec les sous-traitants participants à la mise en œuvre du service.
Garantir une localisation, un traitement des données et une gestion des opérations du datacenter au sein de l’Union Européenne.
Autoriser un organisme certifié par l’ANSSI à venir l’auditer et vérifier le respect de ses exigences.
Pour ceux qui douteraient de l’importance d’avoir un fournisseur de confiance, voici quelques chiffres 1 :
81% des entreprises françaises se sont dit victimes d’une cyberattaque en 2015.
Se remettre d’une violation de sécurité coûte en moyenne 800 000€.
9 semaines sont nécessaires en moyenne pour corriger une faille de sécurité.
35% des incidents de sécurité auraient été généré (parfois malgré eux) par les collaborateurs de l’hébergeur de ces données.
La plupart de ces exigences étaient déjà incluses dans les principales normes de sécurité reconnues par le marché : ISO-27001, SOC1, SOC2, CSA-CSM. L’effort à fournir pour obtenir ce label (GDPR) est donc faible pour les fournisseurs qui avaient déjà obtenu les principales certifications. C’est cependant une bonne chose d’avoir créé un label Européen pour rassurer les entreprises du vieux continent. En effet, que veulent les Directions Générales et les DSI ? Avoir l’engagement que le fournisseur de l’hébergement pourra assurer la sécurité de leurs données et que celles-ci ne vont pas se retrouver aux mains d’un concurrent, d’un gouvernement étranger ou d’une organisation malveillante. Ces entreprises veulent maîtriser le droit d’accès à ces données et ont besoin de partenaires qui accepteront d’être transparents et de partager la responsabilité de conformité sur la protection des données.
Au moment où nous rédigeons ces lignes, seuls 3 fournisseurs de services cloud ont fait la demande du label. Cependant il est fort à parier que tous les principaux acteurs du marché tenteront à moyen terme de décrocher ce précieux Graal qui leur facilitera l’accès au marché des entreprises européennes. Les entreprises françaises utilisaient jusqu’à maintenant très peu le Cloud et principalement pour du stockage ou des services de messagerie en mode SaaS. La plupart d’entre elles mettaient en avant les risques liés à la sécurité comme frein à son utilisation. L’obtention de ce nouveau label Européen est donc un pas en avant pour permettre de gagner la confiance des décideurs.
Pour conclure, il est fort à parier que nous devrions observer une hausse de part de marché des offres IaaS et PaaS sur Cloud Privé et voir une baisse de celui sur Saas déployé sur Cloud Public. Les DSI n’ont plus d’autre choix que de reprendre le contrôle de ces environnements. La part de « Shadow IT » dans les entreprises devraient donc diminuer aussi significativement. Le risque de recevoir une pénalité de la CNIL étant trop grand en cas de non-conformité à la GDPR.
1 : D’après l’article « Cybersécurité : Cinq chiffres clés à connaître »
Les autres articles qui peuvent vous intéresser
Développer le leadership en agissant à contre-courant des usages traditionnels
Développer le leadership en agissant à contre-courant des usages traditionnels
Je suis intervenu le 10 octobre dans une grande banque française à l’occasion de leur « Agile Day » annuel. On m’a demandé d’intervenir sur l’impact de la transformation agile sur le management.
Mon constat est que la transition managériale dans les grands programmes de transformation agile n’est pas efficace. Ce constat commence à être partagé et mes réflexions m’ont amené à identifier une approche différente de celle traditionnellement mise en œuvre.
Pour développer les Hommes, travaillez sur l’environnement en premier
Quand vous souhaitez amener une entreprise vers un leadership plus agile, il ne suffit pas de décréter qu’elles doivent devenir agiles. Il est nécessaire de rénover le système, qui dans la quasi-totalité des cas, n’est pas compatible en l’état.
Supprimer les silos entre les métiers, les équipes de développement et les équipes de production (approche que j’appelle BIZDEVOPS) est une première étape d’une transformation agile. Modifier les mécanismes contre-productifs, comme les systèmes d’objectifs orthogonaux entre DEV et PROD par exemple, devrait être l’étape suivante. On peut même imaginer une gouvernance d’entreprise basée sur une information transparente, fraîche et honnête, générant des prises de décisions décentralisées et efficaces.
Pour travailler sur le système, vous pouvez démarrer par :
identifier clairement et communiquer beaucoup sur la vision de l’entreprise : son but, sa raison d’être. Finalement, le rôle du dirigeant pourrait se résumer à cela : répéter encore et encore la raison d’être de l’entreprise. C’est d’ailleurs une constante dans les organisations « libérées » qui surperforment dans leurs domaines d’activité.
décentraliser les prises de décisions en donnant plus d’autonomie. Cela signifie en corollaire de garantir un accès transparent à l’information, de développer les compétences, de bâtir des interactions basées sur la confiance mutuelle et de donner le droit à l’erreur dans une approche « fail fast, learn fast ».
Former n’est pas assez
Une fois la prise de conscience et les modifications réalisées au niveau de l’organisation, accompagnez vos managers dans le changement nécessaire de posture. Car en modifiant l’organisation et les interactions entre les différentes parties prenantes, l’impact sur le manager est plus important qu’il ne pourrait y paraître. J’ai déjà rencontré des chefs de projets qui venaient se plaindre de l’agilité parce que leurs équipes parlaient désormais directement avec le Product Owner pour la priorisation des sujets, alors que c’était leur prérogative quelques mois plus tôt.
D’une approche où le manager est traditionnellement un sachant promu pour sa compétence technique (et pas forcément sa compétence en leadership !), nous évoluons vers une approche où le manager s’oriente plutôt vers une posture d’hôte (Host Leadership) ou de coach, avec comme objectif de faire émerger de nouveaux leaders dans son équipe.
Plutôt que d’envoyer les managers en formation pour leur apprendre des recettes qu’ils ne pourront/sauront pas appliquer dans la plupart des cas, préférez un accompagnement sur le terrain. La formation peut être envisagée comme un apport complémentaire si nécessaire et dans un second temps. Le coaching des équipes et des individus amène des résultats bien plus probants car les acquis sont ancrés dans le concret, et surtout, l’apport régulier du coach sécurise la montée en compétences opérationnelle. L’expérience du coach va aussi aider à gérer des situations délicates qui ne manqueront pas d’arriver, et également à identifier les ajustements nécessaires aux modifications réalisées sur le système, dans une approche d’amélioration continue.
