1. UN CONSTAT CLAIR SUR LES FAIBLESSES DANS LA GOUVERNANCE DES BANQUES MISES EN EXERGUE DEPUIS LA CRISE FINANCIÈRE

Plusieurs défaillances des banques en ce qui concerne les pratiques de gouvernance, ont été identifiées pendant la crise financière. Ces pratiques défectueuses, sans être un élément déclencheur direct de la crise financière, y ont été étroitement associées et ont été remises en cause par la suite. Dans certains cas, pendant la crise financière, l’absence de contrepouvoirs efficaces au sein des banques a entraîné un manque de surveillance efficace de la prise de décision de gestion.  Ce qui a conduit à des stratégies de gestion orientées vers le court terme et excessivement risquées.

La faible surveillance exercée par l’organe de direction dans sa fonction de surveillance a été identifiée comme un facteur contributif à l’amplification de la crise.  Certains organes de direction, tant dans leur fonction de direction que, dans leur fonction de surveillance, n’ont pas suffisamment appréhendé la complexité de l’entreprise et les risques encourus. Ceci s’est traduit par des omissions en ce concerne l’identification des risques et la limitation de la prise de risques excessive. Les cadres de gouvernance interne, y compris les mécanismes de contrôle interne et les risques gestion, n’étaient souvent pas suffisamment intégrés au sein des banques ou des groupes. Les fonctions de contrôle interne manquaient souvent de ressources, de statut et/ou d’expertise appropriés.

Enfin, différentes lacunes liées à la conduite, y compris le respect du cadre LAB/FT pour les centres financiers offshore sont actuellement à signaler.

2.  L’importance d’un cadre de gouvernance efficace au sein des banques

La confiance dans la fiabilité du système financier est cruciale pour son bon fonctionnement et représente une condition sine qua non pour contribuer à l’économie dans son ensemble. Des dispositifs de gouvernance interne sains sont fondamentaux pour le bon fonctionnement des banques. La directive 2019/878/UE, renforce les exigences de gouvernance pour les banques et souligne :

• La responsabilité de l’organe de direction en matière de bonne gouvernance.
• L’importance d’une fonction de supervision au sein de l’organe de direction solide, capable de challenger la prise de décision de la direction générale.
• Le besoin d’établir et de mettre en œuvre une stratégie de gestion des risques efficace.
• Un cadre d’appétence au risque solide.

3. Le cadre de la mission de l’EBA dans l’amélioration de gouvernance interne bancaire

L’EBA a pour mission d’harmoniser davantage les dispositifs, processus et mécanismes de gouvernance interne des banques au sein de l’UE.

La guideline s’applique à toutes les banques indépendamment de leurs structures de gouvernance sans préconiser ou préférer une structure spécifique en tenant compte du principe de proportionnalité, ce qui signifie qu’elles doivent être appliquées d’une manière appropriée, selon la taille, l’organisation interne, la nature de la banque et la complexité de ses activités

De plus, la guideline aligne la terminologie utilisée concernant l’appétit pour le risque et la tolérance au risque avec la guideline l’EBA sur le SREP ainsi qu’avec le Comité de Bâle.

Publiée le 2 juillet 2021, cette nouvelle guideline s’applique à partir du 31 décembre 2021.

4. Le contenu de la guideline

4.1.   Les exigences en matière de gouvernance interne

La guideline reprécise le périmètre de la gouvernance interne. Celle-ci comprend toutes les normes et tous les principes relatifs à la banque des objectifs, les stratégies et le cadre de gestion des risques de la banque :

• L’organisation de l’activité.
• Les responsabilités et l’autorité définies et clairement attribuées.
• Les lignes hiérarchiques mises en place et les informations véhiculées.
• L’organisation du cadre de contrôle interne y compris les procédures comptables et les politiques de rémunération.
• Des systèmes informatiques solides.
• Le dispositif d’externalisation.
• La gestion de la continuité des activités.
• Le dispositif de lutte contre le blanchiment de capitaux et le financement du terrorisme.
• La prise en compte des aspects environnementaux, sociaux et de gouvernance (ESG) dans leur cadre de gestion des risques.

Ainsi la guideline vise à :

• Assurer que les banques disposent d’une gouvernance solide y compris une structure organisationnelle claire avec des éléments bien définis, transparents et des lignes de responsabilité cohérentes.
• Permettre aux autorités compétentes de superviser et de contrôler l’adéquation des dispositifs de gouvernance interne.

4.2.   Le rôle de l’organe de direction

La guideline reprécise les attentes en ce qui concerne l’organe de direction. Ce dernier est habilité à fixer la stratégie et les objectifs.

Dans son rôle de direction, il supervise et surveille la prise de décision de la direction générale. La direction générale dirige la banque. La direction générale est responsable devant l’organe de direction pour la gestion courante de la banque.

L’organe de direction dans sa fonction de supervision supervise et challenge la direction générale et fournit des conseils appropriés. Les rôles de surveillance comprennent l’examen de la performance des fonctions de management et la réalisation des objectifs. L’organe de direction doit challenger la stratégie, surveiller et scruter les systèmes qui garantissent l’intégrité de l’information financière ainsi que la solidité et l’efficacité de la gestion des risques et des contrôles internes.

Les administrateurs indépendants au sein de la fonction de surveillance de l’organe de direction contribuent à veiller à ce que les intérêts de toutes les parties prenantes internes et externes soient pris en compte et qu’un jugement indépendant soit exercé en cas de conflit d’intérêts réel ou potentiel.

La guideline vise notamment à :

• Favoriser une saine culture du risque mise en place par l’organe de direction.
• Préciser les tâches, les responsabilités et l’organisation de l’organe de direction dans son rôle de direction que dans son rôle de surveillance des activités.
• Renforcer le contrôle exercé par l’organe de direction sur les activités de la banque :
  • Définition des responsabilités de l’organe de direction concernant les modalités de gouvernance, y compris la séparation des tâches au sein de l’organisation et la prévention des conflits d’intérêts.
  • Contrôles sur les données de prêts octroyés aux membres de l’organe de direction et leurs proches. Celles-ci doivent être dûment documentées et mises à la disposition des autorités compétentes sur demande.
  • La mise en place d’un appel à candidatures au sein des banques importantes pour avoir le droit de siéger au conseil d’administration, sauf si, en vertu du droit national, l’organe de direction n’a aucune compétence dans le processus de sélection et de nomination de l’un de ses membres.
  • L’évaluation de l’aptitude des membres de l’organe de direction et des titulaires de fonctions clés.
  • Assurer une surveillance efficace par l’organe de direction, notamment dans sa fonction de surveillance grâce notamment à sa participation au processus de gestion des risques, à la mise en place d’un comité des risques pour les banques, ainsi qu’aux tâches.

4.3.   Un dispositif de contrôle interne à trois niveaux en ligne avec les recommandations du comité de Bâle

La guideline est cohérente avec le modèle des « trois lignes de défense » pour identifier les fonctions au sein des banques chargées de traiter et de gérer les risques.

4.3.1.    La première ligne de défense

Les métiers, dans le cadre de la première ligne de défense, prennent des risques et sont responsables de leur gestion opérationnelle directe et permanente. À cet effet, les métiers doivent avoir mis en place des processus et des contrôles appropriés visant à garantir que les risques sont identifiés, analysés, mesurés, surveillés, gérés, rapportés et maintenus dans les limites de l’appétit pour le risque de la banque et que les activités commerciales sont conformes aux exigences internes.

Les unités commerciales, opérationnelles et les fonctions support (par ex. RH, juridique ou IT) sont responsables de la gestion de leurs risques et de la mise en place de contrôles appropriés.

Les autres fonctions sont principalement exposées à des risques opérationnels et de réputation qui doivent être pris en compte par la fonction de conformité et la fonction de gestion des risques lors de l’exercice de cartographie des risques dans une approche holistique à l’échelle de l’entreprise. Toutes les autres fonctions doivent être soumises au suivi et la surveillance par la fonction indépendante de gestion des risques et de conformité sur une approche fondée sur les risques.

4.3.2.    La deuxième ligne de défense

La fonction de gestion des risques et la fonction de conformité constituent la deuxième ligne de défense. Les banques peuvent mettre en place des fonctions de contrôle spécifiques supplémentaires (par exemple, contrôle de sécurité informatique ou LAB/FT, fonction de conformité).

La fonction de gestion des risques facilite la mise en œuvre saine du cadre de gestion des risques dans l’ensemble de la banque et a la responsabilité sur une base individuelle et consolidée :

• D’identifier.
• De surveiller.
• D’analyser.
• De mesurer.
• De gérer.
• De signaler les risques.
• De former une vision holistique sur tous les risques.
• De challenger et d’aider à la mise en œuvre de mesures de gestion des risques par les métiers afin de s’assurer que le processus et les contrôles en place au niveau de la première ligne de défense sont correctement conçus et efficace.

La fonction de conformité

• Surveille le respect des exigences légales et des politiques internes.
• Fournit des conseils sur la conformité à l’organe de direction et aux autres membres du personnel concerné.
• Établit des politiques et des processus pour gérer les risques de conformité et assurer la conformité.

Les deux fonctions de gestion des risques et de conformité peuvent intervenir pour assurer la modification du contrôle interne et des systèmes de gestion au sein de la première ligne de défense si nécessaire

La guideline va entrer autres :

• Préciser les exigences relatives à la bonne gestion des risques dans les trois lignes de défense
• Exposer les éléments détaillés de la deuxième ligne de défense et la troisième ligne de défense.
• Assurer l’organisation de la fonction de gestion des risques. Il s’agira notamment de s’assurer que le responsable de la fonction de gestion des risques est cadre supérieur avec une responsabilité distincte pour la fonction de gestion des risques.
• Renforcer le cadre de gestion des risques des banques, en incluant l’aspect des facteurs de risque de LBC/FT.
• Promouvoir une solide culture du risque à tous les niveaux des banques.

4.3.3.    La troisième ligne de défense

La fonction d’audit interne indépendante, en tant que troisième ligne de défense :

• Mène des audits divers dans une approche fondée sur les risques.
• Examine les dispositifs de gouvernance interne, les processus et les mécanismes pour s’assurer qu’ils sont :
  • Solides et efficaces.
  • Mis en œuvre.
  • Systématiquement respectés.
• Est en charge de l’examen indépendant des deux premières lignes de défense, y compris d’autres fonctions support et les lignes commerciales et opérationnelles.
• Accomplit ses tâches de manière totalement indépendante des autres lignes de défense.

4.3.4.    Les conditions de bon fonctionnement des différentes lignes de dÉfense

Pour assurer leur bon fonctionnement, toutes les fonctions de contrôle interne :

• Doivent être indépendantes des équipes qu’elles contrôlent.
• Disposent des ressources financières et humaines appropriées pour leurs tâches.
• Rendent compte directement à l’organe de direction.

Au sein des trois lignes de défense, des procédures, mécanismes et processus de contrôle interne appropriés doivent être conçus, développés, maintenus et évalués régulièrement.

4.4.   Le cadre de gouvernance du processus nouveaux produits et nouvelles activités

Les risques doivent être analysés dans un cadre bien défini conforme à la stratégie de risque et à l’appétit pour le risque de la banque. Ceci implique la définition et le respect d’un système de limites et de contrôles.

Les risques liés aux nouveaux produits et nouveaux domaines d’activité mais aussi les risques pouvant résulter de modifications apportées à des produits, processus et systèmes existants doivent être dûment identifiés, évalués, gérés et surveillés de manière appropriée.

La fonction de gestion des risques et la conformité doivent être impliquées dans le processus d’approbation de ces changements pour s’assurer que tous les risques importants sont pris en compte et que la banque est conforme à toutes les exigences internes et externes.

4.5.   La prévention des conflits d’intérêts

Les banques doivent mettre en œuvre une politique de conflits d’intérêts et des procédures internes d’alerte interne afin de prévenir les conflits d’intérêts. Ceci permettra d’assurer une prise de décision objective, une surveillance et le respect des règles externes et internes exigences, y compris les stratégies des banques et les limites de risque.

L’organe de direction doit veiller à ce qu’un cadre pour l’identification et, l’atténuation des conflits d’intérêts soit mis en place. La banque, ses sous-structures organisationnelles, son personnel et ses actionnaires ont des intérêts qui doivent être pris en compte dans un tel cadre afin de garantir que les décisions soient prises objectivement. Les sources de conflits d’intérêts sont par exemple les intérêts économiques divergents des différentes parties impliquées ou les liens étroits entre les décideurs.

L’organe de direction a les pouvoirs de décision les plus élevés, par conséquent l’identification et gestion des conflits d’intérêts des membres de l’organe de direction et les parties étroitement liées aux membres de l’organe de direction est la pierre angulaire d’une bonne pratique de gouvernance interne.

Par conséquent, les banques doivent gérer avec prudence les conflits d’intérêts pouvant découler de l’octroi des prêts et toute autre transaction avec les membres de l’organe de direction ou leurs proches.

5.  Références

https://www.eba.europa.eu/sites/default/documents/files/document_library/Publications/Guidelines/2021/1016721/Final%20report%20on%20Guidelines%20on%20internal%20governance%20under%20CRD.pdf

Abréviations et glossaire

EBA: European Banking Authority

SREP: Supervisory Review Evaluation Process