16 Cadre de gestion des risques

Dans le contexte du cadre général de contrôle interne, les entreprises d’investissement devraient disposer d’un cadre global de gestion des risques à l’échelle de l’entreprise, couvrant l’ensemble de leurs lignes d’activité et unités internes, y compris les fonctions de contrôle interne, et reconnaissant pleinement la substance économique de toutes leurs expositions aux risques, y compris les risques que l’entreprise d’investissement représente pour elle-même, ses clients et les risques de marché et de liquidité, en particulier ceux qui sont de nature à épuiser le niveau des fonds propres disponibles ou à avoir une incidence significative sur ceux-

• ci. Le cadre de gestion des risques devrait permettre à l’entreprise d’investissement de prendre des décisions éclairées sur la prise de risques. Le cadre de gestion des risques devrait inclure tous les risques ainsi que les risques avérés et les risques futurs auxquels l’entreprise d’investissement pourrait être exposée. Les risques devraient être évalués selon des approches ascendante et descendante, au sein des lignes d’activité et entre celles-ci, en utilisant une terminologie cohérente et des méthodologies compatibles dans l’ensemble de l’entreprise d’investissement et au niveau consolidé. Tous les risques pertinents devraient être inclus dans le cadre de gestion des risques en tenant dûment compte des risques tant financiers que non financiers, y compris le risque de marché, le risque de liquidité, le risque de concentration, le risque opérationnel, le risque informatique, le risque de réputation, le risque juridique, le risque lié à la conduite, le risque lié à la conformité aux règles de lutte contre le blanchiment de capitaux, le financement du terrorisme et d’autres crimes financiers, le risque lié aux critères ESG et le risque stratégique.

Le cadre de gestion des risques de l’entreprise d’investissement devrait inclure des politiques, des procédures, des limites de risque et des contrôles des risques lui permettant de détecter, de mesurer ou d’évaluer, de surveiller, de gérer, d’atténuer et de déclarer, de manière adéquate, continue et en temps utile, les risques aux niveaux des lignes d’activité, de l’entreprise d’investissement et au niveau consolidé.

Le cadre de gestion des risques de l’entreprise d’investissement devrait fournir des recommandations spécifiques sur la mise en œuvre de ses stratégies. Ces recommandations devraient, le cas échéant, fixer et maintenir des limites internes conformes à l’appétit pour le risque de l’entreprise d’investissement et proportionnées à son fonctionnement sain, à sa solidité financière, à son assise financière et à ses objectifs stratégiques. Le profil de risque de l’entreprise d’investissement devrait être maintenu dans les limites ainsi fixées. Le cadre de gestion des risques devrait garantir que, lorsque surviennent des violations des limites de risques, il existe une procédure définie pour les communiquer aux niveaux hiérarchiques supérieurs et y répondre dans le cadre d’une procédure de suivi appropriée.

Le cadre de gestion des risques devrait faire l’objet d’un examen interne indépendant, réalisé par exemple par la fonction d’audit interne, et être régulièrement réévalué par rapport à l’appétit pour le risque de l’entreprise d’investissement, compte tenu des informations transmises par la fonction de gestion des risques et, s’il a été instauré, par le comité des risques. Parmi les facteurs qui devraient être examinés figurent les événements internes et externes, y compris l’évolution des recettes, l’éventuel accroissement de la complexité des activités de l’entreprise d’investissement, le profil de risque ou la structure opérationnelle; l’expansion géographique; les fusions et les acquisitions; et la commercialisation de nouveaux produits ou la mise en œuvre de nouvelles lignes d’activité.

Lorsqu’elle détecte et mesure ou évalue les risques, l’entreprise d’investissement devrait élaborer des méthodologies appropriées, y compris des outils tant prospectifs que rétrospectifs. Les outils devraient inclure l’évaluation du profil de risque avéré par rapport à l’appétit pour le risque de l’entreprise d’investissement ainsi que la détection et l’évaluation d’expositions potentielles à des risques et des tensions dans une série de circonstances défavorables hypothétiques par rapport à la capacité à prendre des risques de l’entreprise d’investissement. Les outils devraient fournir des informations sur tout ajustement du profil de risque qui pourrait s’avérer nécessaire. Les entreprises d’investissement devraient faire des hypothèses dûment conservatrices lorsqu’elles élaborent des scénarios de résistance.

Les entreprises d’investissement devraient tenir compte du fait que les résultats des méthodologies d’évaluation quantitative, y compris les tests de résistance, sont extrêmement dépendants des limites et des hypothèses des modèles (y compris la gravité et la durée du choc et les risques sous-jacents). Par exemple, des résultats faisant état d’un rendement très élevé du capital économique peuvent découler d’une faiblesse du modèle (par exemple l’exclusion de certains risques pertinents) plutôt que d’une stratégie supérieure ou de l’exécution irréprochable d’une stratégie de la part de l’entreprise d’investissement. Par conséquent, la détermination du niveau de risque pris ne devrait pas reposer que sur des informations quantitatives ou des résultats obtenus au moyen de modèles, elle devrait également inclure une approche qualitative (y compris un jugement d’expert et une analyse critique). Il convient de prendre en considération de manière explicite les tendances et les données pertinentes du contexte macroéconomique afin de déterminer leur incidence potentielle sur les expositions et les portefeuilles.

La responsabilité finale de l’évaluation des risques appartient uniquement à l’entreprise d’investissement, qui, en conséquence, devrait évaluer de manière critique les risques auxquels elle est exposée et ne pas s’appuyer exclusivement sur des évaluations externes.

Les entreprises d’investissement devraient être pleinement conscientes des limites des modèles et des mesures et utiliser des outils d’évaluation des risques tant quantitatifs que qualitatifs (y compris le jugement d’expert et l’analyse critique).

Outre leurs propres évaluations, les entreprises d’investissement peuvent utiliser des évaluations des risques externes (y compris des notations de crédit externes ou des modèles de risque acquis en externe). Les entreprises d’investissement devraient être pleinement conscientes de la portée exacte de ces évaluations et de leurs limites.

Des mécanismes de déclaration réguliers et transparents devraient être établis afin que l’organe de direction, son comité des risques (s’il a été instauré) et l’ensemble des unités concernées de l’entreprise d’investissement reçoivent en temps utile des rapports précis, concis, compréhensibles et judicieux, et puissent partager des informations pertinentes sur la détection, la mesure ou l’évaluation, la surveillance et la gestion des risques. Le cadre de déclaration devrait être bien défini et documenté.

Une communication efficace et la connaissance des risques, ainsi que la stratégie en matière de risques, sont essentielles pour l’ensemble du processus de gestion des risques, y compris les procédures d’examen et de prise de décisions, et contribuent à prévenir les décisions susceptibles d’accroître les risques à l’insu de l’entreprise d’investissement. Une déclaration efficace des risques exige une évaluation interne correcte et la communication de la stratégie en matière de risques et des données pertinentes en la matière (par exemple des expositions et des indicateurs de risque clés), tant sur un plan horizontal dans l’ensemble de l’entreprise d’investissement qu’en amont et en aval de la chaîne de gestion.