Dire que l’environnement financier de 2027 sera plus volatil, plus numérisé et marqué par de profondes évolutions réglementaires, c’est une évidence. Même si ce ne sera pas tant les nouvelles règles qui auront un impact significatif, que les précisions sur les modalités de déclinaison des règles définies (exemple sur DORA ou du côté de l’AMLA) et le renforcement des contrôles.

La complexité réside d’une part dans l’interconnexion croissante entre la stratégie des établissements et les menaces externes et d’autre part entre les différents risques eux-mêmes au sein de l’organisation, qui, se moquant des silos, s’exacerbent mutuellement, au risque de l’irradiation des risques à l’ensemble de l’établissement.

C’est dans ce contexte que nous souhaitons rappeler ce que les superviseurs attendent des feuilles de route 2027 (eu égard à nos connaissances d’aujourd’hui) pour les instances de gouvernance et les Directions des risques.

1.   Le contexte 2027

1.1.   Trois moteurs pour l’Autorité bancaire européenne

Le programme de travail 2027 de l’ABE s’organise autour de trois axes :

• Améliorer l’efficacité
• Renforcer la résilience
• Et accompagner la transformation.

Se faisant il met l’accent sur :

• La mise en œuvre du paquet bancaire 2024
• La simplification du reporting
• Et la poursuite des travaux sur DORA.

1.2.   Les principaux enjeux

• Macro-financier et géopolitique : les hypothèses géopolitiques peuvent influer sur les pertes de crédit attendues et à leurs ajustements, les concentrations sectorielles et les plans de redressement réellement utilisables.
• Stress test européen 2027 : pour la première fois, les risques climatiques physiques et de transition sont intégrés, avec 55 % de points de données en moins par rapport au précédent exercice grâce au reporting régulier[1]
• LCB-FT : le règlement AMLR s’applique à partir du 10 juillet 2027 ; l’évaluation des risques à l’échelle de l’entreprise doit couvrir le contournement des sanctions financières ciblées. L’AMLA, qui a repris fin 2025 les mandats LCB-FT de l’ABE, prépare sa supervision directe pour 2028.
• Technologie : risques propres à l’IA (explicabilité, biais, dépendance aux fournisseurs, autonomie des systèmes) au regard de l’AI Act, et application de DORA aux risques TIC et cyber.

2.   comment se preparer a 2027

Nous décrivons ci-après ce qui nous semble les principaux axes à prendre en compte dans la feuille de route 2027 :

2.1.   Macro-financier et géopolitique

• Identifier et valider 2 à 3 scénarios géopolitiques et mesurer leur effet sur les provisions IFRS 9 et les overlay[2]s (côté Direction Financière)
• Réviser et s’assurer de la pertinence des limites de concentration sectorielle et géographique (.
• Tester en conditions réelles une option du plan de redressement : délais, décideurs, faisabilité (Direction générale).

2.2.   Stress test, climat et données

• Intégrer le climat aux stress tests internes et à l’ICAAP.
• Réconcilier les données de risque avec le reporting réglementaire et nommer un responsable par donnée clé, dans l’esprit des principes BCBS 239[3].

2.3.   LCB-FT : cap sur le 10 juillet 2027

• Valider l’évaluation des risques LCB-FT à l’échelle de l’entreprise[4] selon l’AMLR, contournement des sanctions ciblées inclus (rôle de la conformité).
• Mettre à jour procédures, outils de filtrage et formation (Conformité, DSI, RH – avant le 10 juillet).

2.4.   IA et résilience opérationnelle

• Recenser les usages d’IA et identifier ceux à haut risque, dont l’évaluation de la solvabilité des personnes physiques [(DSI et Conformité)
• Tenir à jour le registre des prestataires TIC et tester les plans de continuité et de sortie des prestataires critiques [(DSI, Services Achat).
• Former administrateurs et dirigeants effectifs à ces nouveaux risques (RH, Secrétariat général).

3.   L’influence sur les indicateurs d’appétit au risque

Le cadre d’appétit au risque (RAF) doit refléter ces risques par des indicateurs mesurables. Les indicateurs ci-dessous sont des propositions à adapter au profil de l’établissement.

3.1.   Recalibrer l’existant sous scénario de stress

• Solvabilité et crédit : ratio CET1 et coût du risque, mesurés aussi sous le scénario géopolitique retenu.
• Concentration : limites sectorielles complétées par l’exposition aux secteurs et pays sensibles au scénario.
• Liquidité : LCR et NSFR, complétés par un horizon de survie sous un scénario combiné cyber et réputation.

3.2.   Ajouter peu d’indicateurs, mais les bons

• Crédit : part des encours en stage 2 et poids des overlays dans les provisions.
• Climat : part des encours garantis exposés aux risques physiques ; exposition aux secteurs les plus émetteurs.
• LCB-FT et sanctions : taux de couverture du filtrage sanctions ; cas de contournement détectés et délai de traitement. Qualité des KYC dont les personnes morales et les bénéficiaires effectifs associés.
• IA : usages à haut risque sans validation indépendante ; incidents liés à l’IA.
• Résilience TIC : concentration sur un prestataire critique ; part des plans de sortie testés ; vulnérabilités critiques corrigées dans les délais.
• Données : taux de réconciliation entre données de risque et reporting réglementaire.

4.   Les points d’attention des instances

4.1.   Conseil

Notre appétit au risque couvre-t-il les risques de demain ?

Valider le RAF révisé, vérifier la compétence collective sur l’IA, le cyber et le climat, tracer les questions/réponses.

4.2.   Comité des risques

Les scénarios sont-ils reliés aux provisions, aux limites et au capital ?

Challenger les hypothèses des modèles et les overlays, suivre les dépassements jusqu’à la remédiation, examiner les dépendances aux prestataires critiques.

4.3.   Comité d’audit

Les chiffres que voit le conseil sont-ils fiables ? Qualité et réconciliation des données ; plan d’audit 2027 couvrant AMLR, IA et DORA.

4.4.   Direction générale

Sommes-nous prêts sur le terrain? Tenir le calendrier AMLR, tester le plan de redressement, arbitrer les moyens entre projets et contrôles.

4.5.   Fonctions support

• Risques : recalibrage du RAF, climat dans l’ICAAP, validation indépendante des modèles, y compris d’IA.
• Conformité : évaluation des risques conforme à l’AMLR au 10 juillet, filtrage sanctions, préparation à l’AMLA.
• Finance : réconciliation pour le stress test, impact des scénarios sur les provisions.
• DSI et RSSI : registre des prestataires TIC, tests de sortie, inventaire des usages d’IA.
• RH : formation des instances, tension sur les équipes cyber et conformité.
• Audit interne : missions sur AMLR, IA et DORA, suivi des recommandations.

5.   conclusion

• Réaliser la stratégie en 2027 suppose la prise en compte de nombreuses incertitudes externes qui peuvent influer sur la réalisation de cette stratégie.
• Cette stratégie peut présenter des zones de vulnérabilités selon la clientèle ciblée, les produits, les zones géogprahiques notamment.
• De la qualité de cette analyse dépendra l’adéquation du dispositif de maîtrise des risques. Cette adéquation est essentielle au service d’une performance et surtout d’une performance durable !.

👉 Découvrez nos formations et donnez à vos équipes les clés pour concilier performance et développement produit, maîtrise du risque et excellence client.

Quelques références

[1] ABE, « The EBA publishes its 2027 Work Programme », communiqué de presse, septembre 2026. https://www.eba.europa.eu/publications-and-media/press-releases/eba-publishes-its-2027-work-programme

[2] ABE, EBA Work Programme 2027, document complet, septembre 2026. https://www.eba.europa.eu/sites/default/files/2026-09/f6561915-4192-4d73-88ac-10f8bc09abca/EBA%20Work%20programme%202027.pdf

[3] ABE, « The EBA launches early consultation on simplified EU-wide stress test, with climate risk integration », communiqué de presse, juin 2026. https://www.eba.europa.eu/publications-and-media/press-releases/eba-launches-early-consultation-simplified-eu-wide-stress-test-climate-risk-integration

[4] PwC Legal (M. Huertas et l’équipe EU RegCORE), « EBA sets its 2027 supervisory agenda », Client Alert, octobre 2026. https://legal.pwc.de/content/services/regcore-client-alert/pwc-legal-client-alert-eba-sets-its-2027-supervisory-agenda-october-2026.pdf

[5] BCE – Supervision bancaire, Priorités de supervision du MSU pour 2025-2027, décembre 2024. https://www.bankingsupervision.europa.eu/framework/priorities/html/ssm.supervisory_priorities202412~6f69ad032f.fr.html

[6] Règlement (UE) 2024/1624 du 31 mai 2024 relatif à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme (AMLR), applicable à partir du 10 juillet 2027 ; article 10 sur l’évaluation des risques à l’échelle de l’entreprise. https://eur-lex.europa.eu/eli/reg/2024/1624/oj

[7] Règlement (UE) 2024/1620 du 31 mai 2024 instituant l’Autorité de lutte contre le blanchiment de capitaux et le financement du terrorisme (AMLA). https://eur-lex.europa.eu/eli/reg/2024/1620/oj

[8] ABE, « Getting ready for AMLA », fiche d’information sur le transfert des mandats LCB-FT de l’ABE à l’AMLA d’ici fin 2025, juin 2024. https://www.eba.europa.eu/sites/default/files/2024-06/9dc69374-bd6b-4d2d-8f58-8f36c8e6c6e7/Getting%20ready%20for%20AMLA%20factsheet%20FINAL.pdf

[9] AMLA, « Updated taxonomy for the 2027 risk assessment data collection » (cadre de reporting ABE 4.3), juillet 2026. https://www.amla.europa.eu/news-media/news-articles/updated-taxonomy-2027-risk-assessment-data-collection_en

[10] Règlement (UE) 2022/2554 du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier (DORA), applicable depuis le 17 janvier 2025. https://eur-lex.europa.eu/eli/reg/2022/2554/oj

[11] Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle (AI Act) ; annexe III, point 5 b), sur l’évaluation de la solvabilité des personnes physiques. https://eur-lex.europa.eu/eli/reg/2024/1689/oj

[12] Paquet bancaire 2024 : règlement (UE) 2024/1623 (CRR3) et directive (UE) 2024/1619 (CRD6). https://eur-lex.europa.eu/eli/reg/2024/1623/oj

[13] Norme IFRS 9 « Instruments financiers », adoptée dans l’Union par le règlement (UE) 2016/2067. https://eur-lex.europa.eu/eli/reg/2016/2067/oj

[14] Comité de Bâle, Principes aux fins de l’agrégation des données sur les risques et de la notification des risques (BCBS 239), janvier 2013. https://www.bis.org/publ/bcbs239.htm

Notes 

[1] Ce qui change en 2027. L’ABE annonce 55 % de points de données en moins que lors du précédent exercice, celui de 2025. Elle l’a confirmé dans son communiqué. La pression sur la réconciliation des données reste forte : on remplit moins de cases, mais celles qu’on a déjà envoyées doivent être justes.

[2] Un overlay (on dit aussi « ajustement post-modèle », en anglais post-model adjustment) est une correction manuelle apportée au résultat d’un modèle de provisionnement, quand on estime que le modèle ne capte pas correctement un risque. Sous IFRS 9, les provisions pour pertes attendues sont calculées par des modèles. Ceux-ci s’appuient sur l’historique de défauts et sur des scénarios économiques. Or certains risques n’apparaissent pas dans l’historique : un choc nouveau, une crise qui démarre, des aides publiques qui masquent temporairement les difficultés des emprunteurs. La banque ajoute alors un montant de provisions « par-dessus » le résultat du modèle. C’est l’overlay.

[3] Se reporter notamment à la News de Evelyne Ngnotue – 26.10.26 sur le site AFGES

[4] Se repoter aux News AFGES sur le thème de la LCB-FT.