5.7. Systèmes de TIC, agrégation des données sur les risques et déclaration des risques

Les autorités compétentes devraient évaluer si les systèmes de TIC de l’établissement sont fiables, résilients et adéquats pour mesurer, évaluer et rendre compte de la taille, de la composition et de la qualité des expositions pour tous les types de risques, produits et contreparties de l’établissement et soutenir pleinement les capacités d’agrégation des données sur les risques en temps normal et en période de crise.

Les autorités compétentes devraient vérifier si l’établissement développe et maintient des capacités appropriées d’agrégation des données sur les risques et de déclaration des risques, proportionnées à son profil de risque et à son importance systémique. Lorsqu’elles examinent les capacités d’agrégation des données sur les risques et de déclaration des risques de l’établissement, les autorités compétentes devraient tenir compte de la norme BCBS 239 Principes aux fins de l’agrégation des données sur les risques et de la notation des risques²⁵ pour les établissements faisant l’objet d’une surveillance qui entrent dans le champ d’application de ces principes. En particulier, les autorités compétentes devraient évaluer si l’établissement est en mesure de produire des données et des rapports précis, cohérents, complets et fiables sur les risques pour l’ensemble de l’établissement, en rendant compte de tous les risques significatifs et en reflétant de manière appropriée le profil de risque et les besoins en fonds propres et en liquidité de l’établissement, et si ces données et rapports peuvent être agrégés et mis à la disposition de l’organe de direction et de la direction générale en temps utile et de manière flexible. Le cas échéant, les autorités compétentes devraient évaluer si l’établissement a mis en place un système efficace de gestion et de communication des informations dans l’ensemble du groupe applicable à toutes les unités opérationnelles et les entités juridiques et si ces informations sont communiquées à l’organe de direction de l’entreprise mère de l’établissement en temps utile.

²⁵ Comité de Bâle sur le contrôle bancaire, Principes aux fins de l’agrégation des données sur les risques et de la notification des risques (BCBS 239).

Les autorités compétentes devraient déterminer si l’organe de direction de l’établissement approuve le cadre d’agrégation des données sur les risques et de déclaration des risques de l’établissement et supervise sa mise en œuvre effective, y compris le déploiement de ressources adéquates pour soutenir ces efforts. Les autorités compétentes devraient également évaluer si les capacités d’agrégation des données sur les risques et les pratiques de déclaration des risques de l’établissement sont validées de manière indépendante conformément au cadre de contrôle interne de l’établissement.