17 Cadre de gestion des risques

Dans le contexte du cadre de contrôle interne global, les établissements devraient être dotés d’un cadre de gestion des risques holistique à l’échelle de l’établissement englobant toutes leurs lignes d’activité et unités internes, y compris les fonctions de contrôle interne, reconnaissant pleinement la substance économique de toutes leurs expositions au risque. Le cadre de gestion des risques devrait permettre à l’établissement de prendre des décisions éclairées sur la prise de risque. Le cadre de gestion des risques devrait inclure les risques de bilan et hors bilan, ainsi que les risques avérés et les risques futurs auxquels l’établissement peut être exposé. Les risques devraient être évalués selon des approches ascendante et descendante, au sein des lignes d’activité et entre celles-ci, en utilisant une terminologie cohérente et des méthodologies compatibles dans l’ensemble de l’établissement et aux niveaux consolidé ou sous-consolidé. Tous les risques pertinents devraient être inclus dans le cadre de gestion des risques en tenant dûment compte des risques tant financiers que non financiers, y compris le risque de crédit, le risque de marché, le risque de liquidité, le risque de concentration, le risque opérationnel, le risque informatique, le risque de réputation, le risque juridique, le risque lié à la conduite, le risque lié à la conformité aux règles de lutte contre le blanchiment de capitaux, le financement du terrorisme et d’autres crimes financiers, le risque lié aux critères ESG et le risque stratégique.

Le cadre de gestion des risques de l’établissement devrait inclure des politiques, des procédures, des limites de risque et des contrôles des risques lui permettant de détecter, de mesurer ou d’évaluer, de surveiller, de gérer, d’atténuer et de déclarer, de manière adéquate, continue et en temps utile, les risques aux niveaux des lignes d’activité, de l’établissement et aux niveaux consolidé ou sous-consolidé.

Le cadre de gestion des risques de l’établissement devrait fournir des recommandations spécifiques sur la mise en œuvre de ses stratégies. Ces recommandations devraient, le cas échéant, fixer et maintenir des limites internes conformes à l’appétit pour le risque de l’établissement et proportionnées à son fonctionnement sain, de sa solidité financière, de son assise financière et de ses objectifs stratégiques. Le profil de risque de l’établissement devrait être maintenu dans ces limites fixées. Le cadre de gestion des risques devrait garantir que, lorsque surviennent des violations des limites de risque, il existe une procédure définie pour les communiquer aux niveaux hiérarchiques supérieurs et y répondre dans le cadre d’une procédure de suivi appropriée.

Le cadre de gestion des risques devrait faire l’objet d’un examen interne indépendant, réalisé par exemple par la fonction d’audit interne, et être régulièrement réévalué par rapport à l’appétit pour le risque de l’établissement, compte tenu des informations transmises par la fonction de gestion des risques et, s’il a été instauré, le comité des risques. Parmi les facteurs qui devraient être examinés figurent les événements internes et externes, y compris l’évolution du bilan et des recettes, l’éventuel accroissement de la complexité des activités de l’établissement, le profil de risque ou la structure opérationnelle, l’expansion géographique, les fusions et acquisitions et le lancement de nouveaux produits ou la mise en œuvre de nouvelles branches d’activité.

S’il détecte et mesure ou évalue les risques, l’établissement devrait élaborer des méthodologies appropriées, y compris des outils tant prospectifs que rétrospectifs. Les méthodologies devraient permettre d’agréger les expositions aux risques dans toutes les lignes d’activité et contribuer à détecter les concentrations de risques. Les outils devraient inclure l’évaluation du profil de risque avéré par rapport à l’appétit pour le risque de l’établissement, ainsi que la détection et l’évaluation d’expositions potentielles à des risques et des tensions dans une série de circonstances défavorables hypothétiques par rapport à la capacité de l’établissement à prendre des risques. Les outils devraient fournir des informations sur tout ajustement du profil de risque éventuellement nécessaire. Les établissements devraient faire des hypothèses dûment conservatrices lorsqu’ils élaborent des scénarios de résistance.

Les établissements devraient tenir compte du fait que les résultats des méthodologies d’évaluation quantitative, y compris les tests de résistance, sont extrêmement dépendants des limites et des hypothèses des modèles (y compris la gravité et la durée du choc et les risques sous-jacents). Par exemple, des résultats faisant état d’un rendement très élevé du capital économique peuvent découler d’une faiblesse du modèle (par exemple l’exclusion de certains risques pertinents) plutôt que d’une stratégie supérieure ou de l’exécution irréprochable d’une stratégie de la part de l’établissement. Par conséquent, la détermination du niveau de risque pris ne devrait pas reposer que sur des informations quantitatives ou des résultats obtenus au moyen de modèles, elle devrait également inclure une approche qualitative (y compris un jugement d’expert et une analyse critique). Il convient de prendre en considération de manière explicite les tendances et les données pertinentes du contexte macroéconomique afin de déterminer leur incidence potentielle sur les expositions et les portefeuilles.

La responsabilité finale de l’évaluation des risques appartient uniquement à l’établissement, qui, en conséquence, devrait évaluer de manière critique les risques auxquels il est exposé et ne pas s’appuyer exclusivement sur des évaluations externes. Par exemple, l’établissement devrait valider un modèle de risque qu’il a acheté et l’ajuster à ses propres circonstances spécifiques pour garantir que le modèle détecte et analyse le risque de manière précise et exhaustive.

Les établissements devraient être pleinement conscients des limites des modèles et des mesures et utiliser des outils d’évaluation des risques tant quantitatifs que qualitatifs (y compris le jugement d’expert et l’analyse critique).

Outre leurs propres évaluations, les établissements peuvent utiliser des évaluations des risques externes (y compris des notations de crédit externes ou des modèles de risque acquis en externe). Les établissements devraient être pleinement conscients de la portée exacte de ces évaluations et de leurs limites.

Des mécanismes de déclaration réguliers et transparents devraient être établis afin que l’organe de direction, son comité des risques (s’il a été instauré) et l’ensemble des unités concernées de l’établissement reçoivent en temps utile des rapports précis, concis, compréhensibles et judicieux, et puissent partager des informations pertinentes sur la détection, la mesure ou l’évaluation, la surveillance et la gestion des risques. Le cadre de déclaration devrait être bien défini et documenté.

Une communication efficace et la connaissance des risques, ainsi que la stratégie en matière de risque, sont essentielles pour l’ensemble du processus de gestion des risques, y compris les procédures d’examen et de prise de décisions, et contribuent à prévenir les décisions susceptibles d’accroître les risques à l’insu de l’établissement. Une déclaration efficace des risques exige une évaluation et une communication internes correctes de la stratégie en matière de risque et des données pertinentes en la matière (par exemple des expositions et des indicateurs de risque clés), tant sur un plan horizontal dans l’ensemble de l’établissement qu’en amont et en aval de la chaîne de gestion.