Pour un administrateur, la vraie question n’est plus « avons-nous les données ? », mais « pouvons-nous leur faire confiance ? »

1.   Le chiffre était juste. Jusqu’à ce qu’un autre arrive

Un administrateur ouvre le dossier préparatoire à une séance du conseil. L’exposition à un secteur sensible s’élève à 4,2 milliards d’euros. Quelques pages plus loin, un autre tableau indique 4,6 milliards. La Finance dispose encore d’un troisième chiffre.

Rien de spectaculaire. Aucun système informatique ne s’est effondré. Et pourtant, une question embarrassante vient de surgir : sur quel chiffre prendre la décision ?

D’où proviennent ces données ? Quels traitements ont-elles subis ? Les écarts sont-ils explicables ? Les données sont-elles exhaustives ? Quels contrôles ont été réalisés ? Combien d’ajustements manuels se cachent derrière le tableau présenté au conseil ? Et surtout : qui est responsable lorsque personne ne sait expliquer rapidement la différence ?

C’est précisément le terrain de BCBS 239 et du RDARR – Risk Data Aggregation and Risk Reporting. Longtemps présenté comme un sujet de données et de systèmes d’information, le dispositif est désormais clairement un sujet de gouvernance.

Pour un administrateur ou un titulaire de fonction clé, comprendre BCBS 239 ne signifie donc pas apprendre à construire une architecture informatique. Il s’agit de savoir où regarder, quoi demander et quand ne pas se satisfaire d’un voyant vert.

Ainsi, l’AFGES propose une formation pour accompagner les administrateurs et les titulaires de fonctions clés dans la compréhension et l’implémentation de cette problématique qui est devenue une priorité de supervision pour la BCE.

2.   Comprendre pourquoi BCBS 239 est un sujet de gouvernance

La formation commence par revenir à la raison d’être de BCBS 239. Les crises ont montré qu’une banque pouvait disposer de millions de données sans être capable de répondre rapidement à des questions pourtant élémentaires : quelle est notre exposition totale à cette contrepartie ? À ce secteur ? À cette zone géographique ? Quelle concentration apparaîtrait si plusieurs risques se matérialisaient simultanément ?

Les 14 principes de BCBS 239 seront replacés dans leur logique : gouvernance et infrastructure, capacités d’agrégation, reporting des risques et supervision.

La formation montrera ensuite comment la BCE a prolongé cette logique avec ses attentes en matière de RDARR. Le message est essentiel pour un administrateur : la qualité des données n’est pas un problème que le conseil peut simplement déléguer à la direction informatique.

3.    Passer des principes à la réalité de la banque

C’est généralement ici que les choses se compliquent.

Que faut-il inclure dans le périmètre RDARR ? Quels risques, quelles entités, quels reportings et quelles données sont réellement critiques ? Comment s’assurer qu’une donnée conserve la même signification lorsqu’elle traverse plusieurs systèmes ?

La formation abordera l’architecture des données, leur traçabilité de bout en bout, les réconciliations, les traitements manuels et les critères de qualité : exactitude, exhaustivité, intégrité, actualité et cohérence.

L’objectif n’est pas de transformer les administrateurs en spécialistes de la donnée. Il est de leur permettre de reconnaître les situations dans lesquelles une présentation rassurante masque une fragilité structurelle.

Car « 98 % de données conformes » est un chiffre magnifique. Jusqu’au moment où l’on découvre que les 2 % restants concernent précisément les expositions les plus importantes.

4.   Savoir challenger le dispositif plutôt que simplement le superviser

Le guide de la BCE sur le RDARR renforce considérablement la dimension gouvernance. Responsabilité de l’organe de direction, périmètre, rôles et responsabilités, architecture intégrée, qualité des données, rapidité du reporting et programme de mise en œuvre constituent autant de sujets sur lesquels la banque doit démontrer la solidité de son dispositif.

Mais comment un administrateur peut-il exercer réellement son rôle ?

La formation traduira ces attentes en questions concrètes. Quels sont nos principaux écarts ? Depuis combien de temps sont-ils ouverts ? Quels risques ne sont pas encore correctement couverts ? Combien de traitements manuels subsistent ? Quelles anomalies sont récurrentes ? Quels projets sont en retard et pourquoi ?

Les participants apprendront également à lire un tableau de bord RDARR autrement que comme une succession d’indicateurs verts, orange et rouges. Un bon indicateur n’est pas celui qui rassure. C’est celui qui permet de décider.

5.    Comprendre ce qui se passe lorsque la banque ne se conforme pas

Une déficience RDARR n’est pas seulement un problème de conformité.

Une donnée insuffisamment fiable peut masquer une concentration, retarder l’identification d’un dépassement de limite ou conduire à une mauvaise décision en situation de stress. Elle peut également devenir un sujet prudentiel.

La formation examinera donc les conséquences possibles des déficiences : constats prudentiels, plans de remédiation, inspections ciblées, mesures de supervision et mécanismes d’escalade lorsque les insuffisances persistent.

Pour les administrateurs et les fonctions clés, une autre dimension est essentielle : la traçabilité de leur propre supervision. Le conseil connaissait-il les faiblesses ? A-t-il demandé des explications ? Contesté des délais ? Accordé les ressources nécessaires ? Suivi effectivement la remédiation ?

Prendre acte n’est pas toujours superviser.

6.   Transformer les constats en feuille de route crédible

Enfin, la formation proposera une démarche concrète de mise en œuvre : diagnostic des écarts, définition du périmètre cible, clarification des responsabilités, sécurisation de l’architecture et de la traçabilité, industrialisation des contrôles de qualité, amélioration des reportings et pilotage de la remédiation.

Un plan crédible ne se limite pas à une date cible. Il relie chaque faiblesse à une cause racine, une action, un responsable, des ressources, des jalons, des indicateurs de réussite et un mécanisme d’escalade.

L’enjeu ultime est de sortir de la logique du « projet BCBS 239 ». Une banque n’est jamais définitivement conforme parce qu’elle a clôturé un programme de remédiation. Les systèmes changent, les acquisitions modifient les périmètres, de nouvelles données apparaissent et les risques évoluent.

7.   Gouverner, c’est aussi savoir si l’on peut croire ses propres chiffres

Cette formation de 3h30 est directement liée au mandat d’administrateur :  avoir les moyens de challenger la fiabilité de l’information sur laquelle reposent les décisions prises.

Car derrière BCBS 239 et RDARR se trouve finalement une question très simple, mais redoutable pour toute gouvernance bancaire :

Si une crise commençait demain matin, serions-nous capables de savoir rapidement et avec suffisamment de certitude où sont réellement nos risques ?

Si voulez en savoir plus, l’AFGES vous propose des formations adaptées à la compréhension et la maîtrise de ces enjeux.