Le risque opérationnel pour les établissements financiers (banque et assurance) est le risque de pertes directes ou indirectes dues à une inadéquation ou à une défaillance des procédures de l'établissement (analyse ou contrôle absent ou incomplet, procédure non sécurisée), de son personnel (erreur, malveillance et fraude), des systèmes internes (panne de l'informatique…), des risques externes (inondation, incendie…) ou émergents. Dans le cadre du dispositif Bâle II, la définition du risque opérationnel, les procédures à mettre en place pour le limiter et les méthodes de quantification ont été normalisées. L'objectif de ce dispositif, mis en place dans les banques européennes en 2008, est d'éviter le risque systémique.
Les risques opérationnels ont pris une importance considérable dans le contexte bancaire né de la dérégulation, de l'imbrication croissante des acteurs du monde financier, de l'augmentation des capitaux manipulés et de la sophistication des produits comme l'ont montré les affaires Barings et Société Générale.
Dans le cadre du dispositif Bâle II ont été définies les bonnes pratiques à mettre en place par chaque établissement financier. Le régulateur financier national est chargé de les évaluer et de les contrôler. Les établissements financiers peuvent opter pour un dispositif d'évaluation de ces risques plus ou moins sophistiqué. Depuis la réforme Bâle II, le risque opérationnel entre dans le calcul des fonds propres réglementaires de l'établissement bancaire avec une incidence proportionnelle à la qualité de ses procédures et de son dispositif de suivi et d'évaluation.
Des mesures similaires à celles mises en œuvre dans le cadre de Bâle II sont en cours de définition pour les compagnies d'assurance dans le cadre de la réglementation Solvabilité II.
Définition du risque opérationnel
Le régulateur du dispositif Bâle II définit le risque opérationnel comme celui de pertes directes ou indirectes dues à une inadéquation ou à une défaillance des procédures, du personnel et des systèmes internes. Cette définition inclut le risque juridique; toutefois, le risque de réputation (risque de perte résultant d'une atteinte à la réputation de l'institution bancaire) et le risque stratégique (risque de perte résultant d'une mauvaise décision stratégique) n'y sont pas inclus.
Cette définition recouvre notamment les erreurs humaines, les fraudes et malveillances, les défaillances des systèmes d'information, les problèmes liés à la gestion du personnel, les litiges commerciaux, les accidents, incendies, inondations.
Le Comité de Bâle a retenu une classification qui institue sept catégories d'évènementsAnnexe B (Classification détaillée des événements générateurs de pertes) du texte de l'Accord Bâle II, disponible sur le site de la Banque des Règlements Internationaux https://www.bis.org/publ/bcbs128.htm liés à ce risque :
Fraude interne : par exemple, informations inexactes sur les positions, falsifications, vol commis par un employé et délit d’initié d’un employé opérant pour son propre compte ; Fraude externe : par exemple, braquage, faux en écriture et dommages dus au piratage informatique ; Pratiques en matière d'emploi et sécurité sur le lieu de travail : par exemple, demandes d’indemnisation de travailleurs, violation des règles de santé et de sécurité des employés, activités syndicales, plaintes pour discrimination et responsabilité civile en général ; Clients, produits et pratiques commerciales : par exemple, violation de l’obligation fiduciaire, utilisation frauduleuse d’informations confidentielles sur la clientèle, opérations boursières malhonnêtes pour le compte de la banque, blanchiment d’argent et vente de produits non autorisés ; Dommages aux actifs corporels : par exemple, actes de terrorisme, vandalisme, séismes, incendies et inondations ; Dysfonctionnement de l'activité et des systèmes : par exemple, pannes de matériel et de logiciel informatiques, problèmes de télécommunications et pannes d’électricité ; Exécution, livraison et gestion des processus : par exemple, erreur d’enregistrement des données, défaillances dans la gestion des sûretés, lacunes dans la documentation juridique, erreur d’accès aux comptes de la clientèle et défaillances des fournisseurs ou conflits avec eux.
Enjeux des risques opérationnels
Depuis le milieu de la dernière décennie, les connaissances en matière de risques de crédit et de risques de marché ont alimenté un large débat et ont fait l'objet de très nombreux travaux de recherche. Normalement, ces travaux auraient dû contribuer à des progrès significatifs dans l'identification, la mesure et la gestion des risques au sein du système bancaire. Néanmoins, on ne peut éviter de s'interroger sur l'impact effectif de ces contributions, au vu d'événements récents qui ont exercé une influence déterminante sur la crise financière de 2008 : d'une part, la crise des subprimes, d'autre part, les pratiques des agences de notation financière dont l'intervention est déterminante dans le processus de maîtrise des risques de crédit.
Cela étant, au cours de la même période, l'évolution des marchés financiers, caractérisée notamment par la globalisation des activités bancaires et par leur dérégulation, a rendu ces activités — et donc les profils de risque correspondants — de plus en plus complexes. Les régulateurs financiers se sont également rendu compte que les risques devenaient de plus en plus difficiles à identifier du fait qu'ils étaient présents à tous les niveaux d'une organisation, de plus en plus difficiles à mesurer de par la conjonction de pertes directes et de pertes indirectes beaucoup plus délicates à quantifier, et de plus en plus difficiles à gérer de par l'organisation de plus en plus transverse des métiers de la banque et de par les difficultés à bien maitriser les limites de leurs périmètres. C'est en partie pour ces raisons que tant les régulateurs que les institutions bancaires ont mis en place des moyens pour identifier, mesurer et contrôler les risques opérationnels : des événements comme ceux qui se sont produits à New York en septembre 2001, ou encore la série de fraudes survenues dans des institutions bancaires (Société Générale, Barings, pour ne citer que les plus médiatisées), démontrent bien que la gestion des risques bancaires va bien au-delà des domaines des risques de crédit ou des risques de marché, et nécessite la prise en compte des risques opérationnels.
Contexte de la régulation des risques opérationnels propre au dispositif Bâle II
Pour la détermination des fonds propres réglementaires, qui constitue un des éléments clés de tout système de régulation bancaire, le dispositif Bâle II établit de nouvelles règles qui prennent mieux en compte la réalité économique, en affinant l'évaluation du profil de risque des institutions bancaires et en y intégrant des systèmes de mitigation des risques. Cette nouvelle régulation permet aux banques qui répondent à certaines conditions de réduire leurs exigences de fonds propres réglementaires, sous réserve d'être capables de démontrer une organisation interne efficiente dans la gestion de leurs risques.
Pour affiner la gestion et la maîtrise des risques, le ratio McDonough, remplaçant le précédent ratio Cooke, impose aux banques d'affecter une partie de leurs fonds propres à la couverture de leurs risques de crédit, de leurs risques de marché et − nouveauté du ratio McDonough − de leurs risques opérationnels.
Pour évaluer l'exposition d'un établissement bancaire aux risques opérationnels, le Comité de Bâle propose trois approches par ordre croissant de complexité et de sensibilité au risque : une approche de base (Basic Indicator Approach BIA), consistant en un calcul forfaitaire (α = 15 %) des exigences de capital réglementaire (KBIA), sur la base du produit net bancaire (PNB) moyen des trois derniers exercices : KBIA = α * PNB ; une approche standard (Standardised Approach STA), consistant, pour chaque ligne de métiers de la banque, en un calcul forfaitaire (β = 12 % à 18 %, selon les huit lignes définies) des exigences de capital réglementaire (KSTA), sur la base du PNB moyen enregistré sur ces lignes de métier au cours des trois derniers exercices : KSTA = Σ (β¹-⁸ * PNB¹-⁸) ; une approche avancée (Advanced Measurement Approach AMA), consistant en un calcul des exigences de capital réglementaire (KAMA) s'appuyant sur le(s) modèle(s) interne(s) de mesure des risques opérationnels développé(s) par la banque et validé(s) par l'autorité de contrôle.
Même si le calcul des exigences de capitaux réglementaires est relativement simple dans les deux premières approches (approche de base et approche standard), le coefficient de pondération étant fixé par l'autorité de contrôle, l'utilisation de l'approche standard ou à fortiori celle de l'approche avancée est soumise à une acceptation de l'autorité de contrôle, elle-même conditionnée par le respect de certains critères d'éligibilité :
L'une des nouveautés du dispositif Bâle II en matière de risques opérationnels est donc d'inciter les institutions bancaires à améliorer la gestion de leurs risques opérationnels, cette dernière étant encadrée par des exigences organisationnelles spécifiques à chacune des trois approches : plus l'organisation de la banque est complexe et sophistiquée, à travers des systèmes et des pratiques plus sensibles aux risques, plus l'approche proposée par le régulateur permet d'espérer une réduction du capital réglementaire.
Les bonnes pratiques en matière de risques opérationnels
L’ensemble du dispositif Bâle II a été conçu pour inciter à évoluer progressivement vers la méthode avancée, celle-ci étant en principe moins consommatrice en fonds propres réglementaires. Cette économie de fonds propres trouve sa contrepartie dans la mise en œuvre d’une organisation spécifique visant à un meilleur contrôle des risques opérationnels et, en définitive, à la réduction des pertes. C’est probablement la raison pour laquelle le régulateur a lui-même défini un code de saines pratiques à utiliser par les banques et leurs superviseurs.
Les principes de bonnes pratiques
Partant du principe fixé par le régulateur selon lequel un risque est correctement maîtrisé s’il est identifié, mesuré, évalué et géré, les trois approches ont pour objet de quantifier le risque opérationnel avec une sensibilité variable et donc, pour le couple superviseur / banquier, de contribuer à une meilleure surveillance prudentielle de ce dernier. Parallèlement à ces outils de mesure, le régulateur a développé dix principes de bonnes pratiquesSaines pratiques pour la gestion et la surveillance du risque opérationnel, Comité de Bâle pour le contrôle bancaire, février 2003, https://www.bis.org/publ/bcbs96fre.pdf nécessaires à la maîtrise des risques opérationnels, rappelant par là l’importance tant de l’implication de l’organe exécutif dans la mise en place d’un tel système, que de l’identification des risques opérationnels, notamment au travers d’une cartographie de ces derniers.
Élaboration d’un environnement adéquat pour la gestion du risque [opérationnel]
Principe 1 – Le conseil d’administration [de l’institution bancaire] devrait considérer les principaux aspects du risque opérationnel de la banque comme une catégorie distincte de risque à gérer, et il devrait approuver et réexaminer périodiquement le dispositif de gestion de ce risque. Ce dispositif devrait fournir une définition du risque opérationnel valable pour la banque tout entière et poser les principes servant à identifier, évaluer, suivre et maîtriser/atténuer ce risque. Principe 2 – Le conseil d’administration devrait garantir que le dispositif de gestion du risque opérationnel de la banque est soumis à un audit interne efficace et complet, effectué par un personnel fonctionnellement indépendant, doté d’une formation appropriée et compétent. La fonction d’audit interne ne devrait pas être directement responsable de la gestion du risque opérationnel.