6.6 Évaluation des autres risques

Les autorités compétentes devraient apprécier l’importance des autres risques pour le capital de l’entreprise d’investissement qui ne sont pas couverts par les exigences de fonds propres du pilier 1, conformément aux articles 36 et 40 de la directive (UE) 2019/2034. Lorsqu’elles évaluent ces autres risques, les autorités compétentes devraient tenir compte de la nature et de la complexité des activités de l’entreprise d’investissement qui ont une incidence sur l’importance de ces risques.

6.6.2 Évaluation des risques inhérents

En évaluant les risques inhérents non couverts par les exigences de fonds propres du pilier 1, les autorités compétentes devraient déterminer quels sont les principaux facteurs à l’origine des risques de l’entreprise d’investissement et apprécier l’importance de l’incidence de ces risques sur l’entreprise. L’évaluation de ces risques devrait être articulée autour des principales étapes suivantes:

• a. Évaluation préliminaire;
• b. Évaluation de la nature et de la taille des activités d’investissement qui comportent un risque pour l’entreprise d’investissement non couvert par les exigences de fonds propres du pilier 1;
• c. Évaluation des systèmes et processus liés à ces activités.

Les autorités compétentes devraient évaluer les risques non couverts par les exigences de fonds propres du pilier 1, à la fois dans une perspective actuelle et dans une perspective future.

Le cas échéant, les autorités compétentes devraient également procéder à une évaluation des risques autres que ceux énumérés dans le présent chapitre.

81 Évaluation préliminaire

Afin de définir la portée de l’évaluation des risques non couverts par les exigences de fonds propres du pilier 1, les autorités compétentes devraient en un premier temps déterminer quelles sont les sources des risques auxquels l’entreprise d’investissement est ou pourrait être exposée.

Les autorités compétentes devraient, au minimum, tenir compte:

• a. Du modèle d’entreprise et de l’appétit pour le risque;
• b. Du développement en interne ou de l’externalisation de solutions informatiques;
• c. Des fonctions d’appui telles que les services de la conformité, juridique, fiscal (y compris lorsque ceux-ci sont externalisés);
• d. Du coût des actions en justice et des contentieux;
• e. Du total des pertes opérationnelles, y compris le coût de la fraude interne et des fraudes externes;
• f. Du périmètre des activités hors portefeuille de négociation.

Les autorités compétentes devraient effectuer l’analyse préliminaire en tenant compte de l’évolution des éléments susvisés au fil du temps, afin de se forger une opinion éclairée des principaux facteurs des autres risques auxquels est exposée l’entreprise d’investissement.

Risque de taux d’intérêt inhérent aux activités hors portefeuille de négociation

Les autorités compétentes devraient évaluer le risque de taux d’intérêt inhérent aux activités hors portefeuille de négociation auquel l’entreprise d’investissement est exposée.

Les autorités compétentes devraient examiner la manière dont la modification des taux d’intérêt peut avoir une incidence négative sur les actifs, les passifs et les expositions hors bilan de l’entreprise d’investissement. Afin de mieux déterminer la complexité et le profil de risque de taux d’intérêt de l’entreprise d’investissement, les autorités compétentes devraient également appréhender les principales caractéristiques des actifs, des passifs et des expositions hors bilan de l’entreprise d’investissement.

Lors de l’évaluation quantitative, les autorités compétentes devraient tenir compte des résultats des méthodologies internes de l’entreprise d’investissement visant à mesurer le risque de taux d’intérêt découlant des activités hors portefeuille de négociation. En outre, elles devraient envisager des scénarios «chocs» appropriés compte tenu de la nature de l’exposition au risque de taux d’intérêt découlant des activités hors portefeuille de négociation de l’entreprise d’investissement.

82 Risques opérationnels non couverts par le pilier 1

Les autorités compétentes devraient évaluer les risques opérationnels non couverts par les exigences minimales de fonds propres conformément au règlement (UE) 2019/2033. Ces risques pourraient donner lieu à des pertes opérationnelles directes et à des pertes indirectes résultant de plaintes et de contentieux. Des risques opérationnels importants peuvent également entraîner une pénurie de personnel à des postes clés. L’évaluation devrait tenir compte non seulement des pertes opérationnelles, mais également des accidents évités de justesse et des risques opérationnels se terminant sur un gain.

Les autorités compétentes devraient prendre en considération les sources de risque inhérent suivantes et, le cas échéant, concentrer l’évaluation sur les aspects considérés comme les plus importants pour l’entreprise d’investissement:

• a. La sécurité sur le lieu de travail;
• b. Les dommages occasionnés aux actifs physiques;
• c. La fraude interne;
• d. Les fraudes externes;
• e. Les risques liés aux TIC;
• f. Le risque de mauvaise conduite;
• g. Les risques réglementaires, juridiques et fiscaux;
• h. Le risque de modèle, soit le risque lié aux modèles utilisés à des fins professionnelles et commerciales;
• i. Une insuffisance de ressources humaines et techniques (sur le plan qualitatif autant que quantitatif) aux postes clés;
• j. Le risque de réputation.

Dans le cadre de toutes les évaluations du SREP, les autorités compétentes devraient se forger une opinion du degré de risque lié aux TIC et de la cohérence entre les opérations informatiques et la stratégie de l’entreprise. Les autorités compétentes devraient inclure dans leur évaluation tous les aspects pertinents des risques liés aux TIC, tels que le risque pour la sécurité, le risque lié aux projets informatiques et le risque lié à la gestion des TIC, dans la mesure où cela n’est pas déjà traité dans d’autres parties des présentes orientations, et compte tenu des orientations de l’ABE sur la gestion des risques liés aux TIC et à la sécurité¹⁹ et des orientations de l’AEMF relatives à la sous-traitance à des prestataires de services en nuage²⁰ ;

Les autorités compétentes devraient se forger une opinion du degré de risque de mauvaise conduite lié aux activités d’investissement et de marché de l’entreprise

19 Orientations de l’ABE sur la gestion des risques liés aux TIC et à la sécurité (EBA/GL/2019/04).

20 Orientations de l’AEMF relatives à la sous-traitance à des prestataires de services en nuage (ESMA50-164-4285). 83 d’investissement, dans la mesure où il n’est pas pris en compte dans les exigences de fonds propres du pilier 1. Le risque de mauvaise conduite devrait être entendu comme le risque actuel ou potentiel encouru par les clients, les marchés ou l’entreprise elle-même en raison d’un comportement inapproprié de l’entreprise ou de son personnel. Ce risque peut résulter de fautes délibérées ou d’actes de négligence (y compris la fourniture inappropriée de services financiers), dans la mesure où ceux-ci pourraient avoir des répercussions négatives sur le plan financier ou sur la réputation de l’entreprise d’investissement. Ce risque de réputation peut à son tour entraîner une perte de parts de marché ou de clients clés, ainsi qu’une augmentation des plaintes des clients.

Les autorités compétentes devraient se concentrer sur les sources suivantes de risque inhérent de mauvaise conduite, si elles le jugent pertinent:

• a. La clôture ou la suspension d’un fonds;
• b. Le nombre d’incidents de mauvaise conduite: ventes abusives, manipulations de marché;
• c. Les sanctions réglementaires encourues.

Les autorités compétentes devraient se forger une opinion des risques réglementaires, juridiques et fiscaux découlant du non-respect de dispositions législatives ou réglementaires. Ces risques peuvent donner lieu à des contentieux ainsi qu’à des sanctions pour l’entreprise d’investissement. Les programmes correctifs vers la mise en conformité de l’entreprise avec la législation et la réglementation peuvent également entraîner des dépenses importantes.

Les autorités compétentes devraient se concentrer sur ces sources de risques réglementaires, juridiques et fiscaux inhérents, le cas échéant:

• a. Les coûts liés à la mise en conformité avec la réglementation applicable;
• b. Le paiement d’amendes ou d’autres sanctions pour non-conformité;
• c. Un redressement fiscal ou le paiement de frais de retard, d’amendes et de pénalités;
• d. L’anticipation des changements réglementaires pertinents pour l’entreprise d’investissement.

Les autorités compétentes devraient évaluer le risque lié aux modèles utilisés à des fins professionnelles et commerciales, y compris les modèles de valorisation/tarification, les modèles de trading algorithmique et tout autre modèle susceptible d’avoir une incidence significative sur les décisions commerciales et les activités des entreprises d’investissement.

Compte tenu des spécificités de l’entreprise d’investissement, lors de l’évaluation des risques non couverts par les exigences de fonds propres du pilier 1, les autorités compétentes peuvent prendre en considération d’autres sources de risques non incluses dans les catégories susmentionnées.

84 Le risque systémique

Sur la base de critères quantitatifs et qualitatifs, les autorités compétentes devraient se forger une opinion du risque systémique de l’entreprise d’investissement. Sur la base de cette évaluation, les autorités compétentes devraient déterminer si la défaillance de l’entreprise d’investissement est susceptible d’entraîner des perturbations majeures des marchés financiers sur lesquels l’entreprise d’investissement exerce ses activités.

Le cas échéant, l’évaluation du risque systémique peut être effectuée de manière agrégée pour un groupe d’entreprises d’investissement ayant un modèle d’entreprise et un profil de risque similaires. Lorsqu’elles procèdent à cette évaluation agrégée, les autorités compétentes devraient tenir compte des incidences potentielles d’une défaillance simultanée d’un nombre ou d’une partie spécifiée de ces entreprises d’investissement sur les marchés financiers sur lesquels elles exercent leurs activités. À cette fin, les autorités compétentes peuvent envisager un ou plusieurs scénarios.

6.6.3 Évaluation de la gestion des risques et des mécanismes de maîtrise des risques

Afin de parvenir à une compréhension globale du profil de risque de l’entreprise d’investissement en ce qui concerne les risques non couverts par les exigences de fonds propres du pilier 1, les autorités compétentes devraient examiner le cadre de gouvernance et de gestion des risques qui réduit le risque découlant d’autres sources de risques. À cette fin, les autorités compétentes devraient évaluer les éléments suivants, en tenant compte du volume, de la nature et de la complexité des activités de l’entreprise d’investissement:

• a. La stratégie de l’entreprise d’investissement témoigne précisément de l’appétit de l’entreprise d’investissement pour ces risques, en cohérence avec son appétit global pour le risque;
• b. L’entreprise d’investissement dispose d’orientations et de politiques internes visant à garantir une culture saine du risque;
• c. L’entreprise d’investissement dispose d’un cadre approprié pour la gestion, la mesure, le suivi et le contrôle du risque de taux d’intérêt découlant des activités hors portefeuille de négociation;
• d. L’entreprise d’investissement dispose d’un cadre approprié pour la gestion, la mesure, le suivi et le contrôle des risques informatiques, et de ressources humaines et techniques suffisantes (sur le plan qualitatif autant que quantitatif);
• e. L’entreprise d’investissement dispose de politiques et de procédures clairement définies pour le contrôle du risque opérationnel.

6.6.4 Résumé des constatations et notation

À l’issue de l’évaluation susvisée, les autorités compétentes devraient pouvoir se forger une opinion des autres risques de l’entreprise d’investissement. Cette opinion devrait faire

85 l’objet d’un résumé des constatations, accompagné d’une note de risque établie sur la base des considérations visées au tableau 8. Si, en raison de l’importance de certains facteurs de risque, les autorités compétentes décident de les évaluer et de les noter séparément, les recommandations figurant dans ce tableau devraient être appliquées par analogie dans toute la mesure du possible.

Les autorités compétentes devraient tenir compte de tous ces facteurs en parallèle et non de manière isolée et comprendre les facteurs à l’origine des risques non couverts par les exigences de fonds propres du pilier 1.

Tableau 8. Considérations prudentielles pour l’attribution d’une note aux autres risques

Note Considérations concernant Considérations concernant le risque de Opinion prudentielle l’adéquation de la gestion et inhérent