6.4. Évaluation du risque opérationnel

Lorsqu’elles évaluent le cadre de gestion du risque opérationnel, les autorités compétentes devraient évaluer entre autres la conformité de l’établissement avec les actes juridiques publiés séparément sur le site internet de l’ABE, comme indiqué au paragraphe 12.

Les autorités compétentes devraient évaluer le risque opérationnel dans toutes les lignes d’activité et les opérations de l’établissement, en tenant compte des constatations de l’évaluation des dispositifs de gouvernance interne et des mécanismes de maîtrise du risque dans l’ensemble de l’établissement, comme prévu au titre 5. Lorsqu’elles procèdent à cette évaluation, les autorités compétentes devraient déterminer la manière dont le risque opérationnel peut se concrétiser, en tenant également compte de l’ensemble de données sur les pertes de l’établissement et des incidences potentielles d’autres risques connexes (par exemple, risque opérationnel limite lié au crédit et lié au marché).

Les autorités compétentes devraient évaluer l’importance du risque opérationnel découlant des prestataires de services tiers, y compris la concentration (au niveau de l’entité et, s’il y a lieu, au niveau du groupe) sur un ou plusieurs services fournis par un seul prestataire de services tiers (directement ou indirectement par l’intermédiaire de chaînes de sous-traitance) ou par un nombre limité de prestataires tiers soutenant les fonctions critiques ou importantes de l’établissement, et déterminer si ces facteurs pourraient avoir une incidence sur la résilience opérationnelle, les performances et la gestion des risques de l’établissement. Lorsqu’elles procèdent à cette évaluation, les autorités compétentes devraient tenir compte de la mesure dans laquelle d’autres établissements se fondent sur les mêmes prestataires de services tiers, lorsque ces informations sont à leur disposition.

Lorsqu’elles évaluent le risque opérationnel, les autorités compétentes devraient évaluer le risque lié aux TIC, conformément au règlement DORA, et son incidence potentielle sur les fonctions critiques ou importantes de l’établissement, y compris toute incidence financière, pour la réputation, réglementaire et stratégique potentielle pour l’établissement.

Les autorités compétentes devraient évaluer si l’établissement dispose d’une approche adéquate en matière de résilience opérationnelle afin d’être en mesure de résister aux perturbations, de s’y adapter et de s’en rétablir lorsqu’elles se produisent, et si cette approche a été alignée de manière adéquate et cohérente sur le cadre de gestion des risques, les plans de continuité des activités et la gestion par des tiers.

Lorsqu’elles évaluent le risque opérationnel, les autorités compétentes devraient évaluer, s’il y a lieu, si les politiques et procédures de l’établissement identifient, évaluent et gèrent de manière appropriée les risques opérationnels découlant des activités sur crypto-actifs et de leur technologie de soutien.

Les autorités compétentes devraient évaluer le risque de réputation conjointement avec le risque opérationnel, étant donné qu’il est intrinsèquement lié à des événements de risque opérationnel. Toutefois, le résultat de l’évaluation du risque de réputation ne devrait pas être pris en compte dans la notation du risque opérationnel, mais, le cas échéant, devrait être considéré comme faisant partie de l’analyse du modèle d’entreprise et/ou de l’évaluation du risque de liquidité, étant donné que ses principaux effets peuvent ébranler la confiance des investisseurs, des déposants ou des participants au marché interbancaire à l’égard de l’établissement.

Les autorités compétentes devraient évaluer l’incidence des risques ESG sur les risques opérationnels et de réputation inhérents ainsi que l’adéquation des contrôles du risque opérationnel et du risque de réputation liés aux risques ESG, en accordant la priorité aux risques de transition environnementale et aux risques physiques. En particulier, les autorités compétentes devraient tenir compte des risques environnementaux et des risques d’écoblanchiment lorsqu’elles procèdent à l’évaluation du risque juridique et du risque de réputation.

6.4.2. Évaluation du risque opérationnel inhérent

Les autorités compétentes devraient développer une compréhension approfondie des expositions de l’établissement au risque opérationnel inhérent et évaluer l’importance de l’incidence prudentielle de ce risque pour l’établissement ainsi que l’incidence sur sa capacité à exercer des fonctions critiques ou importantes en cas de perturbation.

À l’appui de cette évaluation, les autorités compétentes devraient tenir compte de l’exigence de fonds propres pour risque opérationnel par rapport à l’exigence totale de fonds propres et, le cas échéant, du capital interne alloué au risque opérationnel par l’établissement par rapport au capital interne total. En outre, les autorités compétentes devraient tirer parti des connaissances acquises dans le cadre de l’évaluation d’autres éléments du SREP (en particulier des titres 4 et 5), de la comparaison avec les pairs, de toute autre activité de surveillance, y compris les informations fournies par les autorités de surveillance de LBC/FT et les autorités de surveillance du marché, ainsi que de toute autre source d’information pertinente.

Les autorités compétentes devraient examiner au minimum les principaux facteurs de risque opérationnel et les scénarios perturbateurs potentiels et, le cas échéant, les analyser par ligne d’activité, entité juridique, zone géographique et catégorie de type d’événement (sous réserve de la disponibilité de données) et comparer la position de l’établissement par rapport à celle de ses pairs. Ces facteurs devraient au moins couvrir la stratégie principale de l’établissement en matière de risque opérationnel et d’appétit pour le risque opérationnel, l’environnement économique (y compris la présence géographique, les opérations de TIC et les canaux de distribution), les événements significatifs récents concernant l’entreprise (tels que les fusions, acquisitions, cessions et restructurations), les systèmes de TIC et autres aspects liés aux TIC, conformément à la section 6.4.2.3, les changements de processus, les accords avec des tiers, les questions de conformité réglementaire, les ambitions commerciales et les programmes d’incitation, ainsi que d’autres facteurs clés de risque opérationnel.

Nature et importance des expositions au risque opérationnel

Les autorités compétentes devraient déterminer la nature des expositions au risque opérationnel en analysant les expositions aux principales sources et aux principaux facteurs de risque opérationnel afin de se forger une opinion prospective sur le risque opérationnel potentiel. Aux fins de cette analyse, les autorités compétentes:

• a. peuvent tenir compte du modèle d’exploitation, des lignes d’activité, des produits, des processus et des zones géographiques pertinents pour l’établissement, de l’évaluation des dépendances et des expositions au risque opérationnel vis-à-vis des principaux facteurs de risque (par exemple, processus, personnes, systèmes et facteurs externes) et des interactions entre facteurs de risque, en tirant parti de l’auto-évaluation des risques de l’établissement, de l’analyse par les pairs, ainsi que des données et des bases de données publiques et/ou du consortium, si elles sont disponibles et pertinentes;
• b. devraient tenir compte tant de la fréquence que de la sévérité des événements auxquels l’établissement est exposé et distinguer ceux causant des pertes à fort impact et ceux se produisant à des fréquences élevées. Sur la base de cette distinction, les autorités compétentes devraient évaluer les tendances des pertes pour risque opérationnel et leur concentration; et
• c. devraient tirer parti des analyses de scénarios et tenir compte des opérations d’entreprise prévues et des analyses prospectives du risque opérationnel réalisées par l’établissement, lorsqu’elles sont disponibles, en tenant compte des mesures correctives et des mesures d’atténuation déjà mises en œuvre et effectives.

À la suite de l’identification et de l’analyse des principales sources et des principaux facteurs de risque opérationnel, les autorités compétentes devraient se concentrer sur ceux qui ont l’incidence potentielle la plus significative sur l’établissement.

Les autorités compétentes devraient prendre en compte, en tant que source d’information primaire, l’ensemble de données sur les pertes et les événements de l’établissement, car il peut fournir des informations précieuses sur l’évolution du profil de risque opérationnel de l’établissement. Les autorités compétentes devraient évaluer périodiquement l’exhaustivité, l’exactitude et la qualité des données relatives aux pertes. Les registres de l’établissement concernant tous les incidents liés aux TIC et les cybermenaces importantes (conformément à l’article 17, paragraphe 2, du règlement DORA), ainsi que les sources identifiées de risque lié aux TIC (conformément à l’article 8, paragraphe 2, du règlement DORA) devraient constituer une autre source d’information.

Évaluation des sous-catégories de risque opérationnel

Les autorités compétentes devraient concentrer l’évaluation des sous-catégories de risque opérationnel sur celles qui sont considérées comme significatives pour l’établissement. Les autorités compétentes devraient également se fonder sur leur jugement d’expert pour identifier les sous-catégories importantes sur la base de toutes les sources d’information internes et externes disponibles. Lorsqu’elles procèdent à l’évaluation, les autorités compétentes devraient toujours prêter attention aux aspects suivants du risque opérationnel³² :

• a. le risque juridique;
• b. le risque de modèle;
• c. le risque lié aux TIC.

6.4.2.1. Risque juridique

³² Veuillez vous reporter à l’annexe III pour une ventilation non exhaustive des sous-catégories de risque opérationnel.

Lorsqu’elles évaluent la pertinence et l’importance des expositions de l’établissement au risque juridique, les autorités compétentes devraient tenir compte des éléments suivants:

• a. la vente inadaptée de produits ou de services;
• b. les conflits d’intérêts dans la conduite des affaires;
• c. la manipulation des taux d’intérêt de référence, des taux de change ou de tout autre instrument ou indice financier;
• d. les obstacles au changement de produits financiers au cours de leur durée et/ou au changement de fournisseurs de services financiers;
• e. les renouvellements automatiques de produits ou les pénalités de sortie; et/ou
• f. le traitement des réclamations des clients;
• g. la violation des règles et réglementations nationales et internationales (règles fiscales, fraude ou vol interne, règles de lutte contre le blanchiment de capitaux, règles de lutte contre le terrorisme et sanctions économiques);
• h. les expositions aux contentieux ESG, en particulier ceux en lien avec l’environnement et l’écoblanchiment.

Les autorités compétentes devraient examiner si l’établissement peut encourir des frais, des amendes, des sanctions ou des dommages et intérêts punitifs dans le cadre de procédures judiciaires, ainsi que le nombre et le contenu des plaintes. Les résultats de l’évaluation prévue au titre 4 devraient également être exploités, parallèlement à l’examen des politiques d’incitation, afin d’obtenir des informations de haut niveau sur les sources de fautes potentielles. Dans ce contexte, les autorités compétentes devraient également examiner si l’établissement a mis en place des systèmes et des processus adéquats et efficaces pour mettre en œuvre et respecter les mesures restrictives (par exemple, les sanctions), y compris évaluer le respect par l’établissement des orientations de l’ABE sur les politiques, procédures et contrôles internes³³ .

³³ Orientations de l’ABE sur les politiques, procédures et contrôles internes visant à garantir la mise en œuvre des mesures restrictives nationales et des mesures restrictives de l’Union (EBA/GL/2024/14)

Cependant, l’autorité compétente devrait appliquer une approche prospective, en tenant également compte de l’éventuelle incidence des évolutions réglementaires et de l’activité des autorités pertinentes en matière de protection des consommateurs et de prestation de services financiers en général.

6.4.2.2. Risque de modèle

En ce qui concerne le risque opérationnel, les autorités compétentes devraient évaluer le risque de modèle, en accordant une attention particulière aux modèles internes non réglementaires (par exemple, les modèles d’IA, la tarification des produits, la fixation et le suivi des limites de risque, les modèles d’ICAAP/ILAAP, les options de rétablissement).

Pour évaluer le risque de modèle, les autorités compétentes devraient tenir compte des éléments suivants:

• a. dans quelle mesure et à quelles fins l’établissement emploie des modèles pour adopter des décisions et l’importance économique de telles décisions. Les autorités compétentes devraient déterminer l’activité ou les activités pour lesquelles l’établissement utilise de manière significative des modèles et évaluer l’incidence potentielle du risque de modèle au moyen, entre autres, d’analyses de sensibilité et de scénarios ou de tests de résistance;
• b. la solidité des mécanismes de contrôle (en termes de méthodes, de fréquence, de suivi, etc.), y compris un processus d’approbation des modèles, des examens réguliers effectués et le niveau de connaissance qu’a l’établissement des insuffisances des modèles ou de l’évolution du marché et des activités.

Lorsque des modèles sont utilisés à des fins décisionnelles (par exemple, la tarification des produits, les modèles d’IA, l’évaluation des instruments financiers, le profilage des clients), les autorités compétentes devraient déterminer s’il existe un processus de validation interne solide et/ou un processus d’examen des modèles permettant d’identifier et d’atténuer le risque de modèle (autre que les modèles réglementaires).

Lorsqu’elles évaluent le risque de modèle, les autorités compétentes devraient tenir compte de l’évaluation des autres risques pesant sur les fonds propres et des risques pesant sur la liquidité et le financement, notamment en ce qui concerne l’adéquation des méthodes utilisées pour évaluer le risque, fixer les prix et évaluer les actifs et/ou les passifs. Les résultats de cette évaluation devraient servir de base aux conclusions sur le risque opérationnel.

6.4.2.3. Risque lié aux TIC — Évaluation du risque inhérent lié aux TIC

Détection des risques significatifs liés aux TIC

Conformément au règlement DORA, les autorités compétentes devraient examiner l’identification, la classification et la documentation par l’établissement de l’ensemble des fonctions, rôles et responsabilités de l’entreprise soutenus par les TIC, les actifs informationnels³⁴ et les actifs de TIC³⁵ soutenant ces fonctions, ainsi que leurs rôles et dépendances eu égard au risque lié aux TIC. Cet examen devrait aider les autorités compétentes à développer une compréhension approfondie des expositions de l’établissement au risque lié aux TIC (profil de risque lié aux TIC), à identifier le risque inhérent lié aux TIC significatif et à se forger un avis sur son incidence prudentielle. À cette fin, les autorités compétentes devraient tenir compte au moins des éléments suivants, le cas échéant et s’il y a lieu:

• a. le rapport sur l’examen du cadre de gestion du risque lié aux TIC (conformément à l’article 6, paragraphe 5, du règlement DORA);
• b. les sources de risque lié aux TIC, en particulier l’exposition au risque vis-à-vis d’autres entités financières et émanant de celles-ci, identifiées par l’établissement en vertu de l’article 8, paragraphe 2, du règlement DORA;
• c. les incidents majeurs liés aux TIC déclarés (conformément à l’article 19, paragraphe 1, du règlement DORA), y compris l’évolution des coûts et pertes annuels agrégés occasionnés par des incidents majeurs liés aux TIC (conformément à l’article 11, paragraphe 10, du règlement DORA);
• d. les résultats des tests envisagés dans le programme de tests de résilience opérationnelle numérique (conformément à l’article 24 du règlement DORA), y compris un résumé des constatations des tests de pénétration fondés sur la menace et des plans de remédiation correspondants (conformément à l’article 26, paragraphe 6, du règlement DORA);
• e. le registre d’informations (conformément à l’article 28, paragraphe 3, du règlement DORA), y compris le degré de concentration sur les prestataires tiers de services TIC, y compris les prestataires intragroupe de services TIC, par type de services TIC et/ou de systèmes de TIC;
• f. les recommandations et avis des superviseurs principaux (conformément à l’article 40, paragraphe 3, et à l’article 42, paragraphe 7, du règlement DORA) et les réponses, rapports et informations connexes provenant de prestataires tiers critiques de services TIC [conformément à l’article 35, paragraphe 1, point c), à l’article 42, paragraphe 1, et à l’article 48, paragraphe 2, du règlement DORA];
• g. le niveau de complexité des systèmes de TIC et les résultats de l’évaluation des risques liés aux TIC sur les systèmes de TIC existants (conformément à l’article 8, paragraphe 7, du règlement DORA);
• h. l’évaluation des risques liés à des modifications importantes (conformément à l’article 8, paragraphe 3, du règlement DORA);
• i. le niveau d’adoption et d’intégration de solutions innovantes en matière de TIC;
• j. l’emplacement (notamment les régions ou les pays) des centres de données et des zones désignées sensibles, y compris lorsque des services TIC contractuels sont fournis par des prestataires tiers de services TIC, couvrant également le lieu de traitement et de stockage des données;
• k. toute insuffisance ou faiblesse significative en rapport avec le projet identifiée au titre 5;
• l. les auto-évaluations du risque lié aux TIC et des mécanismes de maîtrise (si elles sont fournies dans les informations de l’ICAAP);
• m. les informations sur la gestion des risques liés aux TIC transmises à l’organe de direction de l’établissement;
• n. les conclusions des audits internes et externes liés aux TIC;
• o. m’environnement des menaces externes, y compris les renseignements sur les menaces et les vulnérabilités.

Examen des systèmes de TIC et des services TIC

³⁴ Article 3, paragraphe 6, du règlement (UE) 2022/2554.

³⁵ Article 3, paragraphe 7, du règlement (UE) 2022/2554.

Les autorités compétentes devraient examiner la documentation, la méthodologie et les processus pertinents de l’établissement et se forger un avis quant à la question de savoir si l’établissement a correctement identifié les systèmes de TIC et les services TIC qui soutiennent des fonctions critiques ou importantes. À cette fin, les autorités compétentes devraient tenir compte des éléments suivants:

• a. les systèmes de TIC soutenant des fonctions critiques ou importantes, ainsi que les actifs informationnels et les actifs de TIC critiques identifiés par l’établissement (conformément à l’article 8 du règlement DORA);
• b. les processus clés dépendant de prestataires tiers de services TIC, y compris les interconnexions avec des prestataires tiers de services TIC qui soutiennent des fonctions critiques ou importantes, identifiées par l’établissement (conformément à l’article 8, paragraphe 5, du règlement DORA). Identification et cartographie des risques significatifs liés aux TIC pour les systèmes de TIC et les services TIC qui soutiennent des fonctions critiques ou importantes

216.À la suite de l’examen de la dépendance de l’établissement à l’égard des actifs informationnels et des actifs de TIC, du profil de risque lié aux TIC, des systèmes de TIC et des services TIC, les autorités compétentes devraient se forger un avis sur les risques importants liés aux TIC qui peuvent avoir une incidence prudentielle significative sur les systèmes de TIC et les services TIC de l’établissement qui soutiennent des fonctions critiques ou importantes, et une incidence significative sur sa capacité à fonctionner en situation de perturbation. À cette fin, les autorités compétentes devraient tenir compte des éléments suivants:

• a. les pertes financières, y compris la compensation éventuelle des clients, les frais juridiques et de réparation, les dommages et intérêts contractuels, les coûts et les pertes de revenus;
• b. le potentiel de perturbation des activités, compte tenu (mais sans s’y limiter) du caractère critique des services concernés, y compris les transactions et opérations de l’établissement (y compris les dépendances à l’égard de tiers), du nombre de clients et/ou de contreparties financières et/ou de succursales et d’employés potentiellement affectés;
• c. les pertes de données potentielles;
• d. l’incidence potentielle sur la réputation;
• e. l’incidence réglementaire potentielle, y compris la possibilité de censure publique, d’amendes ou même de variation des autorisations;
• f. l’incidence stratégique potentielle sur l’établissement;
• g. l’étendue géographique potentielle.

Les autorités compétentes devraient ensuite classer le risque significatif lié aux TIC identifié dans les catégories de risque lié aux TIC figurant à l’annexe III. Les établissements sont censés établir leur propre catégorisation plutôt que d’utiliser celle figurant en annexe.

6.4.3. Évaluation du cadre de gestion et de contrôle du risque opérationnel

Les autorités compétentes devraient évaluer le cadre et les dispositifs mis en place par l’établissement pour gérer et contrôler le risque opérationnel en tenant compte des résultats de l’analyse du cadre global de gestion des risques et de contrôle interne visée au titre 5, car cela influencera les expositions de l’établissement au risque opérationnel. Concernant le risque de BC/FT, l’autorité compétente devrait tenir compte de l’évaluation fournie par l’autorité de surveillance de LBC/FT.

Stratégie en matière de risque opérationnel et appétit pour le risque opérationnel

Les autorités compétentes devraient évaluer si l’établissement dispose d’une stratégie en matière de risque opérationnel et d’un niveau d’appétit pour le risque opérationnel sains, clairement formulés et documentés, approuvés par l’organe de direction, qui décrivent la nature, les types et les niveaux de risque opérationnel que l’établissement est prêt à assumer. Aux fins de cette évaluation, les autorités compétentes devraient tenir compte, entre autres facteurs, du rôle de l’organe de direction dans la définition, l’approbation, la mise en œuvre et le réexamen de la stratégie en matière de risque opérationnel et de l’appétit pour le risque opérationnel (y compris l’appétit pour le risque lié aux TIC et la stratégie en matière de résilience opérationnelle numérique), de la couverture suffisante et de l’adéquation de la stratégie par rapport à la nature et à l’importance du profil de risque opérationnel de l’établissement.

Cadre organisationnel et de contrôle interne

Les autorités compétentes devraient évaluer le respect par l’établissement de l’article 323 du règlement (UE) nº 575/2013. Dans le cadre de cette évaluation, les autorités compétentes devraient évaluer la solidité et l’efficacité du cadre organisationnel et des dispositifs de gouvernance afin de permettre une gestion, une mesure et un contrôle efficaces du risque opérationnel, avec des ressources humaines et techniques suffisantes pour mener à bien les tâches requises. Les autorités compétentes devraient examiner si un partage des responsabilités clair est en place pour la détection, l’évaluation, l’atténuation, le suivi et la déclaration du risque opérationnel, ainsi que pour le respect du modèle des trois lignes de défense.

Les autorités compétentes devraient évaluer si l’établissement dispose d’un cadre de contrôle robuste et de solides garde-fous pour atténuer son risque opérationnel, y compris des politiques et procédures appropriées couvrant également le risque résiduel, et si ceux-ci sont cohérents avec l’appétit et la stratégie de l’établissement en matière de gestion du risque opérationnel et couvrent l’ensemble des opérations et processus clés. Il s’agit notamment d’évaluer si ces politiques et procédures sont clairement formalisées, communiquées et appliquées de manière cohérente dans l’ensemble de l’établissement.

Les autorités compétentes devraient également évaluer la fonctionnalité de la fonction d’audit interne en termes d’adéquation, de portée et de fréquence des audits internes sur le cadre de gestion du risque opérationnel.

Continuité de l’activité, réponse et rétablissement

Les autorités compétentes devraient évaluer le respect par l’établissement i) des orientations de l’ABE sur la gouvernance interne en ce qui concerne la gestion globale de la continuité des activités et ii) du règlement DORA en ce qui concerne la politique de continuité des activités TIC et les plans de réponse et de rétablissement des TIC. À cet égard, les autorités compétentes devraient déterminer si la politique de continuité des activités de TIC et les plans de réponse et de rétablissement des TIC font partie intégrante de la politique globale de continuité des activités et du plan de réponse et de rétablissement de l’établissement.

Les autorités compétentes devraient évaluer si l’établissement a mis en place une gestion efficace de la continuité des activités avec des plans testés de continuité des activités, de réponse et de rétablissement couvrant au moins ses fonctions critiques ou importantes, y compris celles confiées à des prestataires tiers, et si ces plans tiennent compte d’une série de scénarios graves mais plausibles auxquels l’établissement pourrait être vulnérable. Les autorités compétentes devraient également évaluer si la politique de continuité des activités de l’établissement permet de prendre des mesures appropriées de réponse et de rétablissement face à tout type d’incident.

Les autorités compétentes devraient déterminer si la gestion de la continuité des activités de l’établissement inclut:

• a. une analyse des incidences sur les activités;
• b. des stratégies de redressement appropriées intégrant les principales dépendances internes et externes ainsi que des priorités de rétablissement et des niveaux de résilience clairement définis;
• c. des plans complets et flexibles pour faire face à des scénarios perturbateurs plausibles, qui sont établis sur la base de l’analyse des incidences sur l’activité et en coordination avec les parties prenantes internes et externes;
• d. des plans qui établissent des stratégies d’urgence et des procédures de réponse et de rétablissement;
• e. des tests efficaces sur la conception et l’efficacité opérationnelle des plans;
• f. des programmes de sensibilisation et de formation en matière de gestion de la continuité des activités;
• g. des plans de communication pour informer la direction et toutes les parties prenantes concernées, ainsi que des documents relatifs à la gestion des crises, des mesures et une fonction de gestion des crises, le cas échéant (conformément à l’article 11, paragraphe 7, du règlement DORA).

Les autorités compétentes devraient évaluer si les plans de continuité des activités, de réponse et de rétablissement de l’établissement:

• a. définissent les rôles et les responsabilités, y compris des orientations claires sur les successions potentielles, et définissent le processus décisionnel interne ainsi que les déclencheurs d’activation;
• b. font l’objet d’un réexamen afin de garantir que les stratégies d’urgence restent cohérentes avec les opérations, les risques et les menaces actuels, les niveaux de résilience et les objectifs et priorités en matière de rétablissement;
• c. donnent la priorité aux mesures de continuité des activités en utilisant une approche fondée sur les risques;
• d. sont testés régulièrement afin de garantir que les objectifs et les délais de rétablissement peuvent être respectés;
• e. comprennent le test des services fournis par des prestataires de services tiers, le cas échéant;

Les autorités compétentes devraient également évaluer si les résultats des tests sont documentés et communiqués à l’organe de direction. Évaluation du cadre de gestion des risques liés aux TIC

Les autorités compétentes devraient évaluer la conformité de l’établissement avec le règlement DORA et les orientations de l’ABE sur la gouvernance interne en ce qui concerne la gouvernance interne et l’organisation de la gestion du risque lié aux TIC. Les autorités compétentes devraient se forger une opinion quant à la question de savoir si l’organe de direction de l’établissement est tenu globalement responsable de la gestion du risque lié aux TIC et s’il définit, approuve et supervise de manière appropriée la mise en œuvre de tous les dispositifs liés aux TIC. Les autorités compétentes devraient examiner si les membres de l’organe de direction possèdent des connaissances et des compétences suffisantes pour comprendre et évaluer le risque lié aux TIC et son incidence sur les opérations de l’établissement.

Les autorités compétentes devraient évaluer la manière dont les rôles et responsabilités pour toutes les fonctions liées aux TIC et les dispositifs de gouvernance établis sont intégrés dans le cadre de contrôle interne et de gouvernance de l’établissement afin de gérer le risque lié aux TIC. À cette fin, les autorités compétentes devraient examiner si l’établissement a effectivement attribué la responsabilité de la gestion et de la supervision du risque lié aux TIC à une fonction de contrôle indépendante qui a un accès direct et peut rendre des comptes directement à l’organe de direction dans sa fonction de surveillance, et évaluer si l’établissement démontre:

• a. une communication, une répartition et une intégration claires des rôles et des responsabilités dans toutes les fonctions liées aux TIC, y compris les fonctions et les processus opérationnels fondés sur les TIC;
• b. un budget suffisant et approprié pour assurer la résilience opérationnelle numérique pour tous les types de ressources, y compris les programmes de sensibilisation pertinents, les formations et les compétences en matière de TIC pour l’ensemble du personnel [conformément à l’article 5, paragraphe 2, point g), du règlement DORA];
• c. un suivi et une réponse adéquats de la part de l’organe de direction concernant les constatations essentielles de l’audit des TIC et les constatations communiquées au titre de l’article 13, paragraphe 5, du règlement DORA.

Les autorités compétentes devraient développer une compréhension approfondie du cadre de gestion des risques liés aux TIC de l’établissement et évaluer si l’établissement a mis en place des stratégies, des politiques, des procédures, des protocoles de TIC et des outils de TIC suffisants et appropriés, y compris des niveaux de tolérance, pour traiter de manière efficace, efficiente et exhaustive le risque significatif lié aux TIC, conformément au règlement DORA. À cette fin, les autorités compétentes devraient tenir compte des éléments suivants, le cas échéant:

• a. le caractère approprié et l’efficacité des politiques³⁶ , processus et procédures de l’établissement en matière de gestion des risques liés aux TIC, couvrant notamment la gestion des tiers liés en matière de TIC, la détection et la réponse aux incidents liés aux TIC, l’évaluation de la gestion des TIC, le chiffrement et la cryptographie, la sécurité des opérations liées aux TIC, la sécurité du réseau, le contrôle de l’accès, et si ces politiques et procédures ont été approuvées par l’organe de direction et communiquées à toutes les parties prenantes concernées (conformément à l’article 14 du règlement DORA);
• b. le caractère approprié du niveau de tolérance de l’établissement au risque lié aux TIC et de la tolérance à l’incidence des dysfonctionnements des TIC [conformément à l’article 6, paragraphe 8, point b), du règlement DORA];
• c. l’adéquation et la mise en œuvre de la stratégie de résilience opérationnelle numérique de l’établissement, y compris son alignement sur la stratégie économique;
• d. la cohérence de la stratégie en matière de risque lié aux prestataires tiers de services TIC, y compris la stratégie multi-fournisseurs en matière de TIC, lorsqu’elle est disponible, avec la stratégie commerciale globale et le cadre de gestion des risques liés aux TIC;
• e. le risque résiduel découlant des risques recensés par l’établissement en ce qui concerne les dispositions contractuelles relatives à l’utilisation de services TIC à l’appui de fonctions critiques ou importantes;
• f. le risque résiduel découlant des risques recensés par l’établissement sur les projets de TIC ayant une incidence sur les fonctions critiques ou importantes signalés à l’organe de direction, ainsi que sur l’acquisition, le développement et la maintenance des systèmes de TIC et les changements dans les TIC;
• g. la solidité et l’exhaustivité du programme de tests de résilience opérationnelle numérique;
• h. la tendance et l’ampleur des incidents et constatations majeurs liés aux TIC signalés à l’organe de direction conformément à l’article 17, paragraphe 3, point e), et à l’article 13, paragraphe 5, du règlement DORA;
• i. les mécanismes de maîtrise des risques liés au TIC spécifiques au risque lié au TIC significatif identifié;
• j. la déclaration en temps utile des aspects liés à la gestion des risques liés aux TIC à l’organe de direction et à la direction générale;
• k. l’étendue et les constatations des audits internes.

³⁶ Conformément au règlement DORA, celles-ci devraient inclure au moins la politique de sécurité de l’information, les politiques de sauvegarde, la politique de gestion des actifs de TIC, la politique de chiffrement et de contrôles cryptographiques, la politique de gestion des clés de chiffrement, la politique de gestion des projets de TIC, l’acquisition, le développement et la maintenance de la politique relative aux systèmes de TIC, la politique en matière de ressources humaines, la politique de sécurité physique et environnementale, la politique de gestion des incidents liés aux TIC, la politique relative à l’utilisation des services TIC soutenant des fonctions critiques ou importantes fournies par des prestataires tiers de services TIC.

Lorsqu’elles évaluent la gestion des risques liés aux TIC, les autorités compétentes devraient accorder une attention particulière à la gestion des risques liés aux prestataires tiers de services TIC, y compris au niveau de concentration de l’établissement sur les prestataires tiers de services TIC. À cette fin, les autorités compétentes devraient assurer une coopération étroite avec les superviseurs principaux des prestataires tiers de services TIC ayant une importance critique, conformément aux orientations communes des AES³⁷ , dans le cas où l’établissement soumis à évaluation reçoit des services TIC d’un tel prestataire. Les autorités compétentes devraient également examiner l’efficacité du rôle spécifique établi par l’établissement, ou du membre désigné de la direction générale, en matière de suivi des dispositifs relatifs aux tiers en matière de TIC.

³⁷ Orientations communes des AES sur la coopération en matière de surveillance et l’échange d’informations entre les AES et les autorités compétentes au titre du règlement (UE) 2022/2554 (JC/2024/36).

Les autorités compétentes devraient examiner si la fonction d’audit interne est efficace et possède les connaissances, les compétences et l’expertise suffisantes pour contrôler le cadre de gestion des risques liés aux TIC de l’établissement, en examinant si:

• a. le cadre de gestion des risques liés aux TIC fait l’objet d’un audit avec la qualité, l’orientation et la fréquence requises, et est proportionné au profil de risque lié aux TIC de l’établissement;
• b. le plan d’audit comprend des audits sur les risques significatifs liés aux TIC détectés par l’établissement, y compris des examens indépendants des plans de réponse et de rétablissement des TIC;
• c. les constatations critiques des audits des TIC sont vérifiées et corrigées en temps utile, ainsi que signalées à l’organe de direction;
• d. les constatations des audits des TIC, notamment les mesures convenues, font l’objet d’un suivi officiel et de rapports d’avancement examinés périodiquement par la direction générale et/ou le comité d’audit.

6.4.4. Évaluation du risque de réputation

Les autorités compétentes devraient évaluer le risque de réputation auquel l’établissement est exposé en tirant parti de la compréhension acquise du titre 4 au titre 6.2. Cette évaluation devrait également se concentrer sur le cadre global de risque de réputation, garantissant la capacité de l’établissement à gérer efficacement tout événement lié à la réputation. Aux fins de cette évaluation, les autorités compétentes devraient éviter une double comptabilisation des aspects déjà pris en compte dans le cadre de l’évaluation du risque juridique (section 6.4.2.1).

Lorsqu’elles évaluent la pertinence du risque de réputation, les autorités compétentes devraient tenir compte de la taille de l’établissement ainsi que de la nature, de l’échelle et de la complexité de ses services, activités et opérations (par exemple, actions ou dettes cotées ou participation à des marchés interbancaires).

Les autorités compétentes devraient tenir compte à la fois des facteurs ou événements internes et externes susceptibles de soulever des préoccupations en matière de réputation, à l’exclusion des événements donnant lieu à des procédures judiciaires. Pour les établissements relevant de la catégorie 1 et de la catégorie 2, les autorités compétentes devraient tenir compte de tous les indicateurs suivants dans leur évaluation:

• a. la couverture médiatique/des médias sociaux négative et les initiatives des associations de consommateurs susceptibles de détériorer la perception de l’établissement par le public et sa réputation;
• b. le nombre et les changements de plaintes de clients ou la perte soudaine de clients ou d’investisseurs;
• c. les événements négatifs affectant des pairs de l’établissement que le public pourrait associer à l’ensemble du secteur financier ou à un groupe d’établissements;
• d. la réputation des personnes participant à la gestion de l’établissement ou détenant des participations qualifiées;
• e. la participation ou l’exploitation dans des secteurs ou des pays ou territoires fortement exposés au BC/FT ou avec des personnes associées à un risque élevé du point de vue du BC/FT;
• f. la participation ou l’exploitation dans des secteurs ou des juridictions et/ou avec des contreparties fortement exposées à des problèmes significatifs ou à des controverses publiques liées aux facteurs ESG, notamment, mais sans nécessairement s’y limiter, à des facteurs environnementaux;
• g. l’incidence sur la réputation des incidents liés aux TIC enregistrés par l’établissement conformément au règlement délégué (UE) 2024/1772 de la Commission³⁸ ;
• h. d’autres indicateurs de «marché», le cas échéant (par exemple, abaissement de la note ou fluctuation du cours des actions au cours de l’année).

³⁸ Règlement délégué (UE) 2024/1772 de la Commission du 13 mars 2024 complétant le règlement (UE) 2022/2554 du Parlement européen et du Conseil par des normes techniques de réglementation précisant les critères de classification des incidents liés aux TIC et des cybermenaces, fixant des seuils d’importance significative et précisant les détails des rapports d’incidents majeurs, C/2024/1519 (JO L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

Les autorités compétentes devraient évaluer l’importance de l’exposition de l’établissement au risque de réputation et son interconnexion avec les autres risques en s’appuyant sur les évaluations des risques pertinentes (y compris celles d’autres autorités de surveillance) afin de détecter d’éventuels effets secondaires dans l’une ou l’autre direction.

Dans le contexte de l’analyse du risque opérationnel, les autorités compétentes devraient tenir compte de la pertinence et de l’importance des expositions de l’établissement au risque de BC/FT d’un point de vue prudentiel dans le cadre du risque opérationnel. À cet égard, les autorités compétentes devraient utiliser les données pertinentes reçues de la part des autorités de surveillance de LBC/FT pour compléter leurs résultats tirés de la supervision continue et évaluer si cela soulève des préoccupations d’ordre prudentiel en lien avec le risque de BC/FT.

Les autorités compétentes devraient garder à l’esprit le fait que tout établissement peut être exposé au BC/FT, quelle que soit la taille ou la solidité financière de l’établissement. Dès lors, il convient de porter une attention suffisante aux établissements qui sont perçus comme solides sur le plan financier et qui pourront avoir une bonne réputation compte tenu du fait que ces établissements pourraient être particulièrement ciblés à des fins de BC/FT. Il convient également de porter attention aux établissements qui savent très bien attirer de nouveaux clients/étendre leur part de marché — notamment en utilisant des canaux de distribution non traditionnels — puisque ceci pourrait être lié à une insuffisance des contrôles de vigilance à l’égard de la clientèle lors de la phase d’entrée en relation.

Les autorités compétentes devraient partager avec les autorités de surveillance de LBC/FT les informations pertinentes sur les questions relatives au risque opérationnel identifiées qui soulèvent des risques de BC/FT, aux risques de non-mise en œuvre et de contournement de sanctions financières ciblées et à des préoccupations comme les insuffisances du système informatique de l’établissement ou du cadre de contrôle interne.

Les autorités compétentes devraient évaluer si l’établissement a mis en œuvre des dispositifs, des stratégies, des processus et des mécanismes adéquats pour la gestion du risque de réputation. En particulier, les autorités compétentes devraient examiner si:

• a. l’établissement a mis en place des politiques et des processus formels afin de détecter, de gérer et de suivre ce risque, y compris un code de conduite solide, et si ces politiques et processus sont proportionnés à sa taille et à sa pertinence dans le système;
• b. l’établissement traite ce risque de manière prudente, y compris en mettant en place des mesures d’évaluation et des outils de suivi appropriés, en couvrant les éventuels problèmes de réputation dans les plans d’urgence, en organisant des sessions de formation et de sensibilisation pertinentes et en tirant parti des enseignements tirés;
• c. l’établissement réalise des tests de résistance ou des analyses de scénarios afin d’évaluer les éventuels effets secondaires du risque de réputation (par exemple, coût de liquidité et de financement, transactions de titrisation, accès au service bancaire correspondant);
• d. l’établissement agit pour protéger sa marque au moyen d’outils de surveillance des médias/médias sociaux, de protocoles visant à lutter contre la mésinformation et la publicité défavorable, ainsi que de campagnes de communication rapides;
• e. l’établissement tient compte de l’éventuelle incidence de sa stratégie et de ses plans d’entreprise et, plus généralement, de son comportement sur sa réputation.

6.4.5. Résilience opérationnelle

Les autorités compétentes devraient se forger une opinion globale quant à la capacité de l’établissement à exercer des fonctions critiques ou importantes en cas de perturbation (niveau de résilience opérationnelle), un résultat qui bénéficie d’une gestion efficace du risque opérationnel, en tenant compte de la taille, du modèle d’entreprise et du profil de risque global de l’établissement. À cette fin, les autorités compétentes devraient s’appuyer sur leurs évaluations existantes de la gestion du risque opérationnel, de la continuité des activités, des capacités de gestion du changement, des services tiers et des TIC sur lesquels l’établissement s’appuie pour évaluer de manière globale si ces éléments soutiennent collectivement la résilience opérationnelle de l’établissement. Les autorités compétentes devraient également examiner si l’établissement met en œuvre son cadre de gestion des risques, ses plans de continuité des activités, sa gestion par des tiers (déjà évaluée dans le contexte du règlement DORA et des orientations de l’ABE publiées conformément à l’article 74, paragraphe 3, de la directive 2013/36/UE sur les dispositifs, processus et mécanismes de gouvernance interne) et ses cadres de redressement et de résolution de manière cohérente et coordonnée. En outre, les autorités compétentes devraient examiner si l’établissement a suffisamment cartographié les interconnexions et interdépendances internes et externes nécessaires à l’exercice de ses fonctions critiques ou importantes.

Les autorités compétentes devraient tenir compte de l’attention accordée par l’organe de direction et la direction générale à la capacité de l’établissement à réagir aux perturbations et à s’en remettre, dans l’hypothèse où des défaillances se produiraient. À cette fin, les autorités compétentes devraient examiner si:

• a. l’organe de direction joue un rôle actif dans l’établissement d’une compréhension large de l’approche de la résilience opérationnelle dans l’ensemble de l’établissement et dans le suivi de l’efficacité de l’approche de l’établissement en matière de résilience opérationnelle;
• b. l’organe de direction reçoit des déclarations en temps utile sur la résilience opérationnelle actuelle de l’établissement à l’appui de la surveillance qu’il exerce, en particulier lorsque les insuffisances majeures recensées sont susceptibles d’affecter l’exercice des fonctions critiques ou importantes de l’établissement.

6.4.6. Résumé des constatations, notation et mesures de surveillance

À la suite de l’évaluation susvisée, les autorités compétentes devraient se forger une opinion sur le risque opérationnel de l’établissement. Cette opinion devrait être reflétée dans un résumé des constatations, accompagné d’une note de risque établie sur la base des considérations visées au tableau 10. Lorsque, en raison de l’importance de certaines sous-catégories de risque, l’autorité compétente décide de les évaluer et de les noter séparément, les recommandations figurant dans ce tableau devraient être appliquées, autant que possible, par analogie.

Tableau 10. Considérations prudentielles afin d’attribuer une note au risque opérationnel Note Considérations concernant Opinion Considérations concernant le de l’adéquation de la gestion et des prudentielle risque inhérent risque mécanismes de maîtrise

Note Considérations concernant Opinion Considérations concernant le de l’adéquation de la gestion et des prudentielle risque inhérent risque mécanismes de maîtrise

Note Considérations concernant Opinion Considérations concernant le de l’adéquation de la gestion et des prudentielle risque inhérent risque mécanismes de maîtrise

Note Considérations concernant Opinion Considérations concernant le de l’adéquation de la gestion et des prudentielle risque inhérent risque mécanismes de maîtrise

Le tableau ci-dessous présente une liste non exhaustive des mesures de surveillance que les autorités compétentes peuvent prendre en cas d’insuffisances recensées dans le cadre de gestion du risque opérationnel et la résilience opérationnelle de l’établissement (compte tenu de l’interconnexion étroite entre la résilience opérationnelle et la gestion du risque opérationnel). Les autorités compétentes devraient décider du type de mesure en fonction de son efficacité par rapport à l’insuffisance spécifique identifiée. Les autorités compétentes peuvent appliquer des mesures de surveillance supplémentaires [y compris des mesures quantitatives conformément à l’article 104, paragraphe 1, point a), de la directive 2013/36/UE] ou une combinaison de ces mesures avec celles énumérées dans le tableau ci-dessous, si elles sont jugées plus appropriées pour remédier aux insuffisances identifiées. En cas de non-respect du règlement DORA, les autorités compétentes devraient tenir compte des mesures correctives applicables prévues à l’article 50 du règlement DORA.

Tableau 11. Liste potentielle et non exhaustive de mesures de surveillance découlant de l’évaluation du risque opérationnel et de la résilience opérationnelle Mesures de surveillance potentielles pour les autorités compétentes conformément à l’article 104, paragraphe 1, points b), d), e), f), j), l), m) et n), de la directive 2013/36/UE et à l’article 50 du règlement (UE) 2022/2554 — Les autorités compétentes peuvent exiger de l’établissement qu’il: A. garantisse la participation plus active de l’organe de direction ou de ses comités aux décisions pertinentes concernant la gestion du risque opérationnel; B. améliore les systèmes de mesure du risque opérationnel; C. renforce les contrôles des processus opérationnels, y compris l’identification, le suivi, la réponse et le rétablissement; D. améliore le cadre de gouvernance opérationnelle; E. améliore la communication d’informations sur le risque opérationnel à l’organe de direction et à la direction générale; F. élabore et mette en œuvre des plans de mesures correctives pour remédier aux insuffisances; G. limite certains accords avec des tiers, en particulier pour des fonctions critiques ou importantes; H. améliore les tests de résistance et l’analyse de scénarios de risque opérationnel; I. mette en œuvre des mesures opérationnelles plus fortes; J. renforce les plans de continuité des activités, de réponse et de rétablissement; K. améliore la gestion du risque opérationnel lié aux risques ESG, en particulier les risques environnementaux, éventuellement sur la base d’une ou de plusieurs des mesures énumérées ci-dessus.