La quantification des risques opérationnels désigne l'ensemble des méthodes statistiques et analytiques visant à évaluer et à modéliser les pertes financières potentielles d'une organisation liées au risque opérationnel, c'est-à-dire les pertes découlant soit de défaillances internes (fraudes, erreur de saisie, etc.), soit d'événements externes sur lesquels l'organisation n'a qu'une prise limitée ( catastrophes naturelles, épidémies, etc.). Ainsi, pour une banque, le risque qu'un emprunteur ne rembourse pas n'est pas un risque opérationnel (c'est un risque de crédit, qui soit être régulé par les processus internes de la banque), mais une erreur dans l'octroi d'un crédit (le conseiller bancaire se trompe et accepte un crédit qu'il voulait refuser) est un risque opérationnel.
La quantification des risques opérationnels est particulièrement développée dans le secteur financier. D'une part, il s'agit d'un des risques majeurs du domaine : les opérations de marché faites en contournement des processus de l'établissement peuvent conduire à des pertes se chiffrant en milliards d'euros et mettant en péril la survie d'un établissement. D'autre part, les pertes sont définies formellement dnas la règlementation internationale du Comité de Bâle sur le contrôle bancaire lors des accords de Bâle II (2004). Cette réglementation les définit comme « le risque de perte résultant de l'inadéquation ou de la défaillance de processus internes, de personnes et de systèmes, ou d'événements externes », et impose leur quantification de manière afin d'évaluer une partie du du capital réglementaire et du capital économique (Pilier 2 / ICAAP), c'est-à-dire les montant de fonds propres que les institutions financières doivent déternir afin d'absorber un niveau suffisant de risques. Cette quantification sert aussi de base pour calibrer l'appétence au risque et évaluer la résilience opérationnelle, garantissant la capacité d'une institution à maintenir ses activités essentielles lors de chocs majeurs.
En pratique, les institutions s'appuient sur une combinaison d'approches qualitatives, comme l'auto-évaluation des risques et des contrôles (approches dites RCSA, Risk and Control Self-Assessment), et quantitatives, telles que l'approche de mesure standardisée (SMA, Standardized measurement approach) et l'approche par distribution des pertes (LDA, Loss Distribution Approach).
Depuis les années 2020, face à l'émergence de menaces systémiques liées aux risques climatiques et à la dépendance aux prestataires technologiques, ces méthodologies intègrent des analyses de scénarios prospectives. Ces pratiques sont encadrées par de nouvelles normes de supervision (telles que le règlement européen DORA, Digital Operational Resilience for the financial section and Amending regulations) et s'appuient techniquement sur l'apprentissage automatique et le traitement des données massives (Big data).
Typologie des approches méthodologiques
Les institutions financières emploient diverses approches méthodologiques pour quantifier leurs expositions au risque opérationnel. Le choix du modèle dépend de la profondeur de l'historique des données, des contraintes réglementaires et des objectifs internes de l'établissement en matière de résilience.
Les modèles quantitatifs se divisent en deux grandes catégories. D'une part, les méthodes statistiques évaluent conjointement la fréquence et la sévérité des pertes historiques. D'autre part, les analyses de scénarios prospectives estiment l'impact d'événements rares mais critiques, tels que les cyberattaques, les litiges de conformité ou les défaillances de systèmes. À titre d'illustration, la panne informatique mondiale liée au prestataire CrowdStrike en ou l'attaque par rançongiciel ayant paralysé la filiale américaine de la banque ICBC en constituent le type de chocs majeurs évalués par ces scénarios. Ces deux approches s'appuient fréquemment sur des techniques de modélisation, comme la simulation de Monte-Carlo, pour générer des distributions de pertes et calculer les exigences de capital à des niveaux de confiance très élevés (généralement fixés à 99,9 % par les régulateurs).
La mise en œuvre de ces modèles mathématiques soulève toutefois plusieurs défis techniques, particulièrement documentés par les autorités de supervision : La rareté des données historiques et les biais de déclaration, particulièrement marqués pour les événements de perte extrême L'hyper-sensibilité des exigences de capital aux hypothèses mathématiques, notamment concernant la forme de la queue de distribution et les structures de corrélation entre les risques La complexité d'alignement entre les résultats statistiques purs et les évaluations qualitatives issues du terrain (comme le dispositif RCSA).
Pour pallier ces limites, les établissements bancaires et assurantiels n'utilisent plus ces modèles de façon isolée. Ils intègrent désormais systématiquement les mesures quantitatives aux évaluations qualitatives au sein d'un dispositif global et multi-niveaux de gestion des risques.
L'Approche de mesure standardisée (SMA)
L'Approche de mesure standardisée (SMA) a été introduite par le Comité de Bâle sur le contrôle bancaire (BCBS) en lors de la finalisation des accords de Bâle III. Cette méthode vise à simplifier le calcul des exigences de fonds propres et à réduire la variabilité des modèles, garantissant ainsi une meilleure comparabilité entre les institutions financières. La SMA remplace définitivement l'Approche de mesure avancée (AMA), qui octroyait auparavant aux banques une flexibilité jugée hétérogène. En Europe, cette norme est transposée par le règlement CRR 3, applicable dès 2025.
Le calcul de l'exigence de capital repose sur deux composantes clés : L'indicateur d'activité (BI) : il mesure la taille de la banque via ses revenus (intérêts, commissions). Un volume d'affaires élevé, comme celui issu de la fusion entre UBS et Credit Suisse actée en 2023, entraîne mécaniquement une hausse de l'exigence de fonds propres de base en raison de la taille systémique de la nouvelle entité et de la surveillance accrue du régulateur FINMA. Le multiplicateur de pertes internes (ILM) : ce coefficient ajuste le capital selon l'historique réel des sinistres. Par exemple, une banque ayant subi des litiges juridiques massifs voit son ILM augmenter, l'obligeant à immobiliser davantage de capital pour couvrir d'éventuels futurs chocs opérationnels.
L'objectif est d'éliminer le risque de modèle. En imposant des paramètres prédéfinis, la supervision devient plus uniforme. Toutefois, les autorités exigent que les banques complètent cette approche prescriptive par des scénarios prospectifs dans le cadre de leur processus d'évaluation interne (ICAAP).
Approche par Distribution des Pertes (LDA)
L'Approche par Distribution des Pertes (LDA) est une méthode statistique utilisée pour estimer la distribution totale des pertes opérationnelles à partir des données historiques. Elle modélise séparément la fréquence des événements, souvent par des processus de Poisson ou de loi binomiale négative, et la sévérité des pertes, généralement ajustée à des distributions à queue épaisse telles que les lois Lognormale, Weibull ou Pareto. La simulation de Monte-Carlo est ensuite utilisée pour dériver les distributions de pertes agrégées et déterminer l'exigence de capital à un centile de 99,9 %.
Cette approche utilise la théorie des valeurs extrêmes (EVT) pour modéliser le comportement de la queue de distribution, se concentrant sur les événements de faible fréquence mais de très forte sévérité. L'utilisation des copules mathématiques permet d'intégrer les structures de dépendance entre les différentes catégories d'incidents. Par ailleurs, l'approche bayésienne permet d'intégrer le jugement d'expert aux données empiriques pour pallier le manque de données historiques.
La mise en œuvre de la LDA requiert toutefois une base de données volumineuse, ce qui constitue une limite pour modéliser les événements rares. Un événement extrême unique peut rendre les modèles statistiques obsolètes. À titre d'exemple, la perte de 4,9 milliards d'euros subie par la Société Générale en 2008 (affaire Jérôme Kerviel) a démontré l'incapacité des modèles internes basés sur l'historique à anticiper un sinistre d'une telle ampleur, dépassant de loin tous les scénarios de sévérité modélisés jusqu'alors.
Ces faiblesses, notamment le postulat que le passé préfigure l'avenir, ont conduit les autorités de supervision à remplacer progressivement ces modèles internes par l'approche standardisée SMA.
Scénarios basés sur des experts
Depuis le , le règlement européen DORA (Digital Operational Resilience Act) impose aux institutions financières de modéliser des scénarios d'interruption totale de services critiques. Ces analyses ne partent plus des données passées mais de situations de rupture plausibles. L'analyse de scénarios fondés sur le jugement d'experts constitue une approche qualitative dans la quantification du risque opérationnel. Contrairement aux modèles strictement quantitatifs tels que la LDA ou la SMA, cette méthode ne se limite pas aux seules données historiques. Elle s'appuie sur les connaissances d'experts internes ou externes pour évaluer la probabilité et l'impact potentiel d'événements rares, émergents ou inédits, à l'image des cyberattaques majeures, des défaillances de prestataires critiques ou des chocs systémiques.
La méthodologie repose sur le reverse stress testing : l'expert identifie le point de rupture (le scénario qui rendrait la banque insolvable ou incapable d'opérer) et travaille à rebours pour quantifier la probabilité d'occurrence. Ces tests doivent couvrir un horizon de survie spécifique, souvent fixé à 30 jours pour les liquidités liées aux risques opérationnels. Les experts quantifient ces chocs via des distributions de probabilité dont le niveau de confiance est calé sur les exigences de Bâle III, soit 99,9 %. Cela signifie que l'institution doit être capable de résister à un choc opérationnel qui ne se produit statistiquement qu'une fois tous les 1000 ans.
En pratique, cette démarche s'articule autour d'ateliers structurés ou d'entretiens individuels réunissant des professionnels de la gestion des risques et des experts métiers. Leurs évaluations empiriques sont traduites sous forme de paires probabilité-sévérité, permettant de générer des distributions de pertes simulées. Cette flexibilité permet de capturer des risques extrêmes qui échapperaient aux modèles purement statistiques. Par exemple, la généralisation des plans de continuité d'activité lors de la crise sanitaire de 2020 a illustré l'importance de ces scénarios pour maintenir les services essentiels malgré l'absence de données historiques comparables pour une pandémie moderne.
L'intégration de ces scénarios est une exigence réglementaire dans le cadre du processus d'évaluation de l'adéquation des fonds propres internes (ICAAP). Elle constitue le socle des tests de résistance et des plans de redressement. Les autorités de supervision, à l'instar de l'Autorité bancaire européenne (ABE) et de la Banque d'Angleterre, exigent désormais la quantification rigoureuse de ces tolérances d'impact pour s'assurer qu'elles s'alignent avec l'appétence au risque déclarée.
Pour affiner ces projections, ces modèles hybrides associent jugements qualitatifs et outils mathématiques, recourant fréquemment à la simulation de Monte-Carlo pour évaluer diverses configurations d'activité ou l'efficacité d'investissements de sécurité. Ces analyses sont employées pour calibrer l'appétence au risque, tester les interdépendances entre défaillances et évaluer la faisabilité des plans de continuité selon les référentiels de résilience (tels que le dispositif PS6/21 au Royaume-Uni).
Scénarios basés sur l'exposition