RFG 191 0093

Le risque opérationnel bancaire
Dispositif d'évaluation et système de pilotage

Éric Lamarque, Frantz Maurer
Dans Revue française de gestion 2009/1 (n° 191), pages 93 à 108
Éditions Lavoisier
ISSN 0338-4551
ISBN 9782746223585
© Lavoisier | Téléchargé le 19/03/2024 sur www.cairn.info (IP: 196.117.122.101)
Article disponible en ligne à l’adresse

https://www.cairn.info/revue-francaise-de-gestion-2009-1-page-93.htm
Découvrir le sommaire de ce numéro, suivre la revue par email, s’abonner...

Flashez ce QR Code pour accéder à la page de ce numéro sur Cairn.info.
Distribution électronique Cairn.info pour Lavoisier.

La reproduction ou représentation de cet article, notamment par photocopie, n'est autorisée que dans les limites des conditions générales d'utilisation du site ou, le
cas échéant, des conditions générales de la licence souscrite par votre établissement. Toute autre reproduction ou représentation, en tout ou partie, sous quelque
forme et de quelque manière que ce soit, est interdite sauf accord préalable et écrit de l'éditeur, en dehors des cas prévus par la législation en vigueur en France. Il est
précisé que son stockage dans une base de données est également interdit.
DOSSIER
ÉRIC LAMARQUE
Université Montesquieu Bordeaux 4
FRANTZ MAURER
Université Montesquieu Bordeaux 4,
Bordeaux Management School
Le risque opérationnel
bancaire
Dispositif d’évaluation et système de pilotage

Le scandale de la Société Générale a dévoilé au grand public
les conséquences des risques liés à des dysfonctionnements
opérationnels. Avec la réforme de Bâle II, cette catégorie de
risques doit maintenant être prise en compte dans
l’évaluation des fonds propres des établissements financiers.
Leur évaluation quantitative est donc la première démarche
qui ait été entreprise. Cependant cette approche apparaît
comme insuffisante pour maîtriser ces risques et la gravité
des événements exceptionnels est extrêmement difficile à
évaluer. Il faut donc combiner ces approches quantitatives à
des démarches plus qualitatives relevant de la mise en place
d’un dispositif de contrôle interne efficace et plus
généralement d’une gouvernance générale du système de
contrôle garantissant une sécurisation optimale du
fonctionnement de la banque. Cet article, fondé sur plusieurs
analyses de cas, évalue les différents éléments de ce
dispositif.
DOI:10.3166/RFG.191.93-108 © 2009 Lavoisier, Paris

94 Revue française de gestion – N° 191/2009
A
u-delà de la vision financière tradi- nement de ces fonds propres. Les travaux
tionnelle évoquant les risques de réalisés auprès des institutions financières
marché ou le risque de crédit montrent la nécessité d’un dispositif com-
comme facteur de défaillance principal des plet visant à maîtriser cette catégorie de
banques. Les événements observés depuis risque, non pas nouvelle, mais dont les
le début des années 2000 (affaire Enron, acteurs bancaires ont pris conscience de
Worldcom, Parmalat ou les attentats de sep- leur impact sur les résultats et la pérennité.
tembre 2001) sont venus rappeler qu’une Cet article a donc pour objectif de présenter
autre source de pertes financières significa- les dimensions clés d’un système de
tives pouvait provenir du fonctionnement contrôle des risques opérationnels. Plu-
opérationnel : fraudes, détournements, sieurs études de cas permettent ici de pro-
condamnations, dysfonctionnements. La poser une première évaluation des condi-
définition officielle donnée par le comité de tions d’efficacité d’un tel dispositif. Il a
Bâle indique qu’il s’agit des « risques de pour vocation à réduire les probabilités
pertes dues à l’inadéquation ou à la d’occurrence d’incidents opérationnels et
défaillance de processus internes dues au ainsi alléger le besoin en fonds propres
personnel ou aux systèmes ainsi que celles imposé par la nouvelle norme de Bâle II.
dues aux événements extérieurs ». On peut De plus, élaborer un dispositif de contrôle
rajouter à cela le risque de réputation dont il visant à minimiser les conséquences finan-

est quasiment impossible d’évaluer les cières de ces risques est donc de nature à
conséquences financières précisément mais améliorer la performance des établisse-
qui n’est pas considéré comme un risque ments. La banque découvre ainsi d’une cer-
opérationnel. La théorie bancaire n’a pas taine manière la nécessité de mettre en
encore pris en compte cet aspect dans son place un dispositif de gestion de ses risques
analyse sur la gestion des risques bancaires. « industriels » comme dans le nucléaire ou
Pour cette théorie, des décisions purement l’industrie chimique, toutes proportions
financières (comme la diversification du gardées. Cependant, le système bancaire,
portefeuille de crédits ou de titres ou malgré ses difficultés actuelles, est assez
comme le transfert du risque vers l’assu- novateur dans ce domaine en comparaison
reur) ou stratégiques (comme la diversifica- aux autres activités de services qui n’ont
tion du portefeuille d’activité) sont de pas réellement intégré cette dimension dans
nature à limiter l’exposition aux risques. leur cartographie des risques.
Les fonds propres sont ensuite le dernier Après avoir présenté en détail les modalités
rempart pour éviter la défaillance suite à de l’évaluation quantitative de ces risques,
l’apparition de pertes exceptionnelles non les facteurs clés de succès d’un système de
prévisibles (Olfield et Santomero, 1997). contrôle seront analysés en montrant les
Le cas des risques opérationnels montre priorités des établissements engagés dans la
que cette approche est incomplète. En effet mise en place de dispositifs de contrôle de
l’évaluation des fonds propres nécessaires à ce type de risques et en insistant sur les cri-
la couverture de ces risques n’est pas suffi- tères d’efficacité d’un système global de
sante et pose le problème du dimension- contrôle.
Le risque opérationnel bancaire 95
I – LE NIVEAU DE FONDS PROPRES nis par le comité de Bâle (voir tableau 1). La
NÉCESSAIRE À LA COUVERTURE matrice ainsi obtenue contient 56 cellules et,
DES RISQUES OPÉRATIONNELS pour chaque catégorie de perte ou événe-
ment de risque, il faut estimer la distribution
Les risques opérationnels sont évalués par la
de sévérité (le montant d’une perte) et la dis-
méthode LDA (Loss Distribution
tribution de la fréquence (le nombre d’oc-
Approach). Il s’agit d’une approche actua-
currences d’une perte)1.
rielle très ancienne largement utilisée en
L’étape suivante consiste à construire la dis-
assurance, qui permet de construire la distri-
tribution des pertes agrégées dues au risque
bution de probabilité des pertes opération-
opérationnel associée à chaque cellule. Le
nelles agrégées. Les données nécessaires au
capital réglementaire associé à chaque caté-
modèle sont fournies par un historique de
gorie de risque ou cellule est calculé en
pertes regroupées selon les huit lignes d’ac-
appliquant le concept de Value-at-Risk
tivité et les sept événements de risque défi-
Tableau 1 – Matrice des pertes distribuées selon la ligne d’activité et le type de risque*
Type de risque (j)

Pratiques en Clients, Dommages Dysfonction- Exécution,
Fraude Fraude matière d’emploi produits et aux nements de livraison et

interne externe et sécurité sur pratiques actifs l’activité et gestion des
le lieu de travail commerciales corporels des systèmes processus
Financement 0,04 0,04 0,19 0,19 0,04 0,02 0,47

des entreprises 0,85 0,01 0,03 0,74 0,14 0,01 0,57
Négociation 0,10 0,25 0,22 0,23 0,07 0,25 10,27
des ventes 0,87 0,58 0,32 1,21 0,48 0,19 8,10
Banque 2,87 38,86 5,01 4,47 0,56 0,35 11,55
de détail 4,03 10,82 3,61 3,16 1,14 0,19 5,61
Ligne d’activité (i)
Banque 0,19 3,68 0,17 0,60 0,11 0,09 1,96

commercial 0,34 4,20 0,33 2,09 18,19 0,20 9,23
Paiements 0,05 0,81 0,13 0,03 0,01 0,14 2,91
et règlements 0,31 0,29 0,18 0,01 0,16 0,05 1,39
Fonction 0,01 0,03 0,01 0,02 0,00 0,03 2,43
d’agents 0,01 0,06 0,01 0,01 0,00 0,01 1,98
Gestion 0,07 0,09 0,10 0,20 0,01 0,01 1,65
d’actifs 0,07 0,07 0,17 1,09 0,03 0,02 1,19
Courtage 0,15 0,04 2,14 1,35 0,02 0,11 4,06
de détail 0,98 0,02 0,86 2,56 8,79 0,02 1,45
* Pour chaque cellule de la matrice, la valeur du haut indique la fréquence et celle du bas la sévérité exprimée en %.
1. En juin 2002, le Risk Management Group (RMG) du comité de Bâle a collecté les données de perte liées au risque
opérationnel survenues au cours de l’année 2001 dans le secteur bancaire. Cette compilation des pertes opération-
nelles est connue sous l’acronyme LDCE (Operational Risk Loss Data Collection Exercise). Cette étude fut réali-
sée à partir d’un échantillon de 89 banques de stature internationale. Les données de perte opérationnelle ont ensuite
été classées par ligne d’activité (i) et type de risque (j). Les résultats du tableau 1 portent sur un total de 47 000 évé-
nements de risque opérationnel pour un montant total de pertes subies avoisinant 7 800 millions d’euros.
(VaR) au risque opérationnel. La VaR opé- outre, l’estimation de ce paramètre se fait

rationnelle ou OpVaR correspond alors à un sans difficulté à l’aide d’une technique d’es-
quantile de la distribution de la perte agré- timation statistique très populaire : la
gée (figure 1). Le comité de Bâle précise méthode du maximum de vraisemblance
que la période de détention h (i.e., l’horizon (Maximum Likelihood ou ML).
de calcul) est fixée à un an et que l’inter-
valle de confiance a est 99,9 %. Ensuite le 2. Estimation de la distribution
processus dévaluation comporte trois de sévérité de la perte
phases. On suppose le plus souvent que la distribu-
tion de sévérité suit une loi lognormale de
1. Estimation de la distribution paramètres µ et σ2, estimés par les méthodes
de la fréquence de la perte du maximum de vraisemblance ou des
La distribution de la fréquence (le nombre de moments généralisés (Generalized Method
pertes pour l’activité i dû au type de risque j) of Moments ou GMM). L’estimation directe
est généralement estimée par une loi de de la distribution de sévérité du risque opé-
Poisson en raison de sa commodité (Frachot rationnel est souvent difficile, car les don-
et al., 2003 ; Mignola et Ugoccioni, 2005). nées utilisées sont souvent entachées de dif-
Elle est utilisée avec succès dans le domaine férentes sources de biais (Roncalli, 2004).
de l’assurance pour modéliser des problèmes Ces biais surviennent lorsqu’on mélange

similaires, et ne nécessite qu’un seul para- des données de même nature mais qui ont
mètre (la moyenne du nombre annuel de été collectées de manière différente (biais de
pertes) pour être entièrement définie. En collecte ou de reporting) où qu’on mélange
Figure 1 – La VaR opérationnelle (OpVaR) à 99,9 %

des données fondamentalement différentes 2004). La distribution de probabilité de

(biais d’échelle ou de scaling). Afin de pal- L(i, j), notée Gi,j (x), est la distribution com-
lier la présence de données tronquées dans posée suivante :
l’estimation de la distribution de sévérité, le
∞
5 ^pi,j(n)Fn*
comité de Bâle (2006, p. 153) précise que la x.0
i,j (x)
banque doit avoir fixé un seuil de 10 000 Gi,j(x) = n=1
euros pour les données de pertes à collecter. pi,j(0) x50
Il précise également que le système de
mesure du risque opérationnel d’une banque où Fi,j est la distribution de la sévérité des
doit utiliser des données externes perti- pertes. L’astérisque indique la convolution
nentes (données publiques et/ou agrégées) dans la fonction F, où Fn* indique n-fois la
sur l’ensemble du secteur bancaire. convolution de F avec elle-même2. La dis-
tribution composée G(x) s’obtient alors par
3. Estimation de la distribution simulation Monte Carlo (voir Klugman
de la perte agrégée et al., 2004, chapitre 17) ou en utilisant des
Une fois que les distributions de fréquence algorithmes numériques comme celui de
et de perte sont calibrées, on peut calculer Panjer.
la perte totale ou agrégée pour la ligne d’ac- Une fois la distribution de la perte agrégée
tivité i et le type de risque j entre les dates t estimée, il ne reste plus qu’à calculer la

et t+h (h est fixé à un an par le comité). Elle charge en capital (Capital-at-Risk ou CaR)
est définie par : pour la ligne de métier i et le type de risque
N(i,j) j, autrement dit le quantile à a = 99,9 % de
L(i,j) = ^ Xn (i,j) cette distribution. Si on respecte strictement
n=0
les recommandations du comité de Bâle
où Xn(i, j) est la variable aléatoire représen- (2006, p. 151), la charge en capital devrait a
tant le montant d’une perte (sévérité) pour priori couvrir les seules pertes exception-
l’activité i et le type de risque j, et N(i, j) est nelles (unexpected loss ou UL), puisque les
la variable aléatoire de comptage (nombre pertes moyennes (expected loss ou EL) sont
d’événements de perte pour l’activité i dû censées être couvertes par des provisions ou
au type de risque j) de fonction de probabi- imputées sur le résultat courant. Dans ce cas,
lité pi,j. la charge en capital CaR est donnée par :
On suppose que le nombre d’événements
CaR = UL(i, j ; α)
de perte (les occurrences) est aléatoire entre
les dates t et t+h, que les sévérités (le mon- Cependant, si la banque ne parvient pas à
tant des pertes) sont indépendantes les unes démontrer au régulateur que les pertes
des autres, et qu’elles sont indépendantes moyennes ont été couvertes, la charge en
de la fréquence des pertes (Frachot et al., capital doit couvrir la somme des pertes
2. La convolution est une procédure mathématique qui permet de transformer les distributions de fréquence et de
sévérité en une troisième distribution (la distribution de la perte agrégée) en superposant les deux premières (voir
Feller, 1971, p. 143).
exceptionnelles (UL) et moyennes (EL). termes, il appartient à la banque de valider

Dans ce cas, la mesure du risque opéra- ses hypothèses de corrélation.
tionnel correspond bien à une valeur en
risque, autrement dit CaR et OpVaR sont II – LES PRIORITÉS EN MATIÈRE
identiques : DE GESTION DU RISQUE
OPÉRATIONNEL
CaR ≡ OpVaR(i, j ; α) = G–1
i,j (α)
= EL(i,j) + UL(i, j; α) La plupart des banques ont développé un
modèle de risque opérationnel ou ORF
i,j (α) est le quantile à 99,9 % de la dis-
où G–1 (Operational Risk Framework) afin de res-
tribution de la perte totale ou agrégée pecter les normes réglementaires. Un ORF
Gi,j(x). La charge en capital (CaR) totale de est destiné à remplir deux objectifs princi-
la banque s’obtient alors en agrégeant les paux. D’une part, assurer la mise en place de
56 mesures individuelles de risque opéra- processus durables de suivi des risques opé-
tionnel associées aux 56 cellules de la rationnels pour satisfaire les exigences
matrice des pertes (voir tableau 1), soit : externes en matière d’audit et de reporting
des pertes opérationnelles (e.g. Sarbanes-
8 7
KLDA = CaR(α) = ^ ^ CaRij(α) Oxley 404). D’autre part, développer une
i=1 j=1 métrique d’évaluation du risque, développer
des cartographies de risque standards, et

Ce mode de calcul des fonds propres régle-
mentaires au titre du risque opérationnel mettre en œuvre une base de données
repose sous l’hypothèse de corrélation par- exhaustive, sorte d’inventaire du risque opé-
faite des pertes totales. Or, d’un point de rationnel ou ORI (Operational Risk Inven-
vue théorique, on peut très bien admettre tory) qui recense et trace les facteurs de
qu’elles ne sont pas parfaitement corrélées. risque, les incidents et les traitements asso-
Faire la simple somme de toutes les charges ciés, et plus globalement la surface d’exposi-
en capital est donc sûrement très conserva- tion de la banque au risque opérationnel. Un
teur en termes de risque. Frachot et al. ORF n’a de sens qu’à la condition d’assurer
(2004) présentent d’ailleurs des arguments un certain degré de résilience opérationnelle.
techniques en faveur d’un effet de diversifi- Comme le montre la figure 2, la structure
cation significatif. Pour la banque, cet effet d’un ORF repose sur cinq principes fonda-
est intéressant à prendre en compte car il mentaux qui doivent être activés au sein de
peut réduire de manière significative la la banque :
charge totale en capital. Le comité de Bâle – la responsabilisation des différents
peut autoriser la banque à appliquer des niveaux de management ;
corrélations entre les estimations indivi- – l’indépendance de la fonction en charge
duelles de risque opérationnel déterminées du contrôle du risque ;
en interne. Elle doit alors démontrer à son – communiquer sur le risque ;
autorité de contrôle que ses systèmes de – sécuriser le Produit net bancaire ;
détermination des corrélations sont sains et – préserver la réputation et l’image de la
mis en œuvre avec intégrité. En d’autres banque.
Figure 2 – Les cinq piliers de la résilience opérationnelle
Résilience opérationnelle
Communication interne/externe
Responsabiliser les différents
Indépendance de la fonction
sur le risque opérationnel
Réputation de la banque
niveaux de management
Produit Net Bancaire

Contrôle du risque

Renforcer Garantir Développer Sécuriser Préserver
Un modèle de résilience opérationnelle est ORF sont dédiées à l’évaluation et surtout

un ensemble de techniques et de moyens au contrôle du risque. Le rôle d’un ORF est
dont l’objectif est d’accroître la capacité clairement de mobiliser l’organisation
d’une banque à faire face à des événements autour du risque opérationnel via des
extrêmes. équipes centralisées ou la participation à
De ces principes découle une redéfinition et divers comités d’évaluation. La fonction
un nouveau partage des tâches et responsa- risque opérationnel doit par conséquent
bilités dans la banque. La gestion du risque encastrer l’ORF dans les structures de gou-
opérationnel est désormais enchâssée dans vernance de la banque, son système de
l’activité même de la banque, alors que la reporting et l’ensemble de ses processus. La
partie contrôle du risque demeure une fonc- figure 3 illustre comment s’articulent les six
tion indépendante responsable de l’intégrité étapes ou composantes clés d’un ORF :
des décisions risque-rentabilité3. Dans cette – Lignes de conduite, normes et direc-
configuration, toutes les fonctions d’un tives. Un ORF requiert une documentation
3. La crise grave qui secoue actuellement la sphère financière mondiale trouve probablement en partie son origine
dans une recherche de rentabilité déconnectée du risque encouru.
Figure 3 – Les six étapes clés de la gestion du risque opérationnel


de contrôle détaillée et complète, permet- facteurs de risque sont identifiés et leur
tant de vérifier que les processus de la impact potentiel évalué. En fonction de leur
banque fonctionnent correctement et effica- fréquence d’occurrence et de la sévérité de
cement. Cette documentation doit donc la perte associée, un rating rouge, orange ou
inclure des procédures standards de vert leur est attribué. Bien entendu, l’éva-
contrôle, des indicateurs, etc. luation de ces risques sert également à
– Recueil des données. Pour renseigner déterminer le capital économique de la
l’ORF, les responsables des différents banque.
domaines d’activité et la fonction risque – Réponse. Basée sur l’évaluation précé-
opérationnel doivent recenser et rassembler dente, une réponse appropriée à la situation
un volume de données considérable à partir de risque est élaborée (e.g. éviter,
de sources diverses : les révélateurs de assurer/transférer, gérer, accepter), et un
risque. Il peut s’agir de processus d’auto- plan d’action est activé en fonction.
certification, d’événements financiers, – Reporting. Tout ce qui relève du risque
d’événements non financiers et externes, de opérationnel est ensuite remonté aux divers
métriques, de rapports d’audit, et d’évalua- comités pour évaluation.
tions top-down ou réalisées par des spécia- – Inventaire de risque opérationnel
listes. (ORI). La totalité des données précédentes
– Identification et analyse des facteurs de ayant fait l’objet du reporting est stockée
risque. À partir des données de risque, les dans la base de données ORI. Il ne s’agit
pas de simplement sauvegarder les impacts ORF ont en effet montré leurs limites à plu-
potentiels des facteurs de risque qui ont pu sieurs niveaux :
être identifiés, mais aussi et surtout de défi- – Anticiper et détecter au plus tôt des
nir des actions correctrices spécifiques. Ces comportements ou des situations anor-
informations seront ensuite utilisées pour males. Les indicateurs (ou « révélateurs »)
mettre en place des mécanismes de de risque mais aussi les mesures propre-
contrôle. ment dites actuellement en vigueur sont
– Contrôle. Le contrôle du risque opéra- résolument tournées vers le passé de la
tionnel ou ORC (Operational Risk Control) banque, autrement dit son historique de
est responsable de l’efficacité du modèle de risque. De fait, elles sont d’une utilité très
risque opérationnel (ORF). Cette fonction discutable à des fins de détection. Les
indépendante est au cœur du dispositif de banques doivent être en capacité de relier
risque de la banque (voir figure 3). Il s’agit différents types d’information et de
en effet de s’assurer que les processus de connaissance afin de transformer des
gestion du risque opérationnel sont correc- signaux faibles en signaux forts. Or, la frag-
tement activés par le management des mentation des départements dédiés au
lignes d’activité/métiers. L’ORC doit égale- risque, qui plus est organisés en silos fonc-
ment vérifier la mise en action effective de tionnels, empêche toute amélioration signi-
l’ORF au niveau de ces lignes/métiers et ficative de la gestion du risque au sein de la

l’intégrité du processus de recueil des don- banque.
nées de risque. – Développer une approche intégrée du
Dans beaucoup de banques, ces modèles de contrôle du risque et identifier les points
risque opérationnels ORF ont permis de de vulnérabilité. La structure de contrôle
répondre aux exigences réglementaires du risque dans les banques ressemble sou-
externes telles que Bâle II et Sarbannes- vent à un patchwork d’exigences réglemen-
Oxley. Les banques ont pu mesurer, suivre taires diverses, et peut par conséquent se
et gérer au plus près leur capital écono- révéler incohérente et incomplète. Intégrer
mique. Elles ont aussi démontré (à quelques les différents processus/outils de contrôle
exceptions notables près quand même) faciliterait la détection de comportements
qu’elles étaient capables de mettre en suspects et permettrait de renoncer à un
œuvre des pratiques robustes et saines de pseudo sentiment de sécurité et de protec-
gestion et de contrôle du risque opération- tion, au profit d’une vision objective de la
nel, même si celles-ci revêtent un caractère capacité réelle de la banque à détecter et
légal obligatoire. Enfin, elles sont parve- gérer le risque.
nues à cristalliser l’action managériale sur – Insuffler une culture du risque. Cer-
la définition et la mise en place de contrôles taines banques compensent les déficiences
internes adéquats du reporting financier de leur structure de contrôle en essayant
global. Cependant, dans l’environnement d’instaurer une culture d’alerte en matière
actuel, être conforme ou synchrone avec les de risque. Dans la plupart des cas, cepen-
exigences du régulateur (ce que les Anglo- dant, une démarche orientée exclusivement
Saxons appellent la « compliance ») ne suf- sur les résultats attendus est inappropriée,
fit plus. Les modèles de risque opérationnel tout simplement parce qu’elle excède très
largement les capacités effectives de suivi interne précis. Le règlement du Comité de

et contrôle du risque de la banque. Il est la réglementation bancaire et financière
donc nécessaire que les banques parvien- CRBF 07-02 décrit avec précision les
nent à instituer des pratiques de gestion du modalités de ce dispositif qui va au-delà de
risque qui ne se résument pas à la simple l’entreprise bancaire et implique différentes
application de méthodes et processus catégories d’acteurs internes et externes :
rigides et normalisés. Ces nouvelles pra- direction générale, comités d’audit, audi-
tiques doivent véritablement s’encastrer teurs externes, régulateur, etc.
dans la culture de la banque. La philosophie du CRBF 97-02 ainsi que
– Expliciter les responsabilités tout au celle du pilier 2 de Bâle II est beaucoup
long du processus de contrôle. Les régula- plus organisationnelle et tournée vers la
teurs et les auditeurs ont poussé les banques prise en compte des risques opérationnels et
à ériger de multiples lignes de défense afin constitue une approche plus qualitative de
de mieux contrôler le risque. Malheureuse- la gestion de cette catégorie de risques. Un
ment, l’adoption de ce modèle s’est traduite grand nombre de banques considèrent que
par une chaîne de responsabilité inopérante. ces derniers sont, pour l’essentiel, issus de
– Initier des changements organisation- la défaillance des contrôles internes ainsi
nels. Les banques ont tendance à se focali- qu’au non respect des procédures (comme
ser sur les symptômes superficiels du risque dans le cas de la Société Générale). La per-

opérationnel, au lieu d’identifier et tra- formance opérationnelle et financière de
vailler sur les causes profondes de celui-ci. ces institutions est donc largement dépen-
Réduire sensiblement le risque opérationnel dante de l’efficacité du dispositif de cou-
d’une banque impose d’intervenir en pro- verture des risques opérationnels (Jimenez
fondeur à différents niveaux. Il peut s’agir et Merlier, 2004).
par exemple de l’amélioration des proces-
sus (de mesure, de contrôle, etc.) ou des 1. L’efficacité des acteurs du dispositif
infrastructures (inventaire et stockage des de contrôle interne
données, chaîne de responsabilité, etc.). L’efficacité du système de contrôle suppose
Afin d’améliorer ce dispositif et de contri- d’abord l’efficacité des acteurs participants
buer à prendre en compte les éléments qui à ce dispositif. On peut distinguer deux
viennent d’être évoqués, il est aujourd’hui grandes catégories d’acteurs : les collabora-
nécessaire de travailler sur un système glo- teurs de l’entreprise sous la responsabilité
bal de contrôle. de la direction générale qui doit proposer
une organisation respectant les grands prin-
cipes de cette fonction ; les acteurs externes
III – LES CRITÈRES
à l’entreprise exerçant pour la plupart une
FONDAMENTAUX D’EFFICACITÉ
mission réglementaire de surveillance des
D’UN SYSTÈME DE CONTRÔLE
établissements financiers.
INTERNE BANCAIRE
– Les acteurs internes du contrôle interne.
Les établissements financiers sont dans – Le service contrôle interne : il est rattaché
l’obligation, depuis une dizaine d’années, directement à la direction générale et son
de concevoir un dispositif de contrôle indépendance est une nécessité. Son rôle est
d’aider l’ensemble des services de la – Le régulateur : derrière ce terme générique

banque à mener à bien la démarche. Il est plusieurs organismes sont en mesure de réa-
une sorte de consultant interne chargé de liser des missions de vérification relatives au
vérifier la faisabilité et l’efficacité des fonctionnement du système de contrôle. Au
contrôles mis en œuvre. L’erreur commise premier rang on retrouve la commission
par beaucoup d’établissements est de lui bancaire qui est l’organisme chargé de véri-
donner un rôle répressif alors qu’il doit fier le respect des règlements bancaires et
avoir avant tout un rôle de conseil et être notamment celui relatif au contrôle interne.
une force de proposition vis-à-vis des ser- L’autorité des marchés financiers possède
vices et de la direction générale. aussi cette faculté car la plupart des établis-
– Les collaborateurs de la banque : chaque sements sont aujourd’hui cotés et sont donc
collaborateur a, dans ses missions, une acti- soumis à ce type de contrôle. La Banque de
vité de contrôle. En effet le premier niveau France enfin qui garde quelques préroga-
de contrôle est réalisé par ceux effectuant tives aussi en la matière. Plus généralement,
les opérations et par leur hiérarchie au sein la régulation du système bancaire repose sur
d’un service. Le personnel doit donc être des organismes de normalisation comme le
sensibilisé à cette tâche pour ne pas la réa- comité de Bâle qui a proposé à la fois des
liser de façon désinvolte ou en considérant normes prudentielles quantitatives relatives
qu’elle n’est pas source de risques graves. aux fonds propres mais également des élé-

Les collaborateurs des services supports du ments plus qualitatifs comme le renforce-
siège sont eux aussi en charge de contrôle ment et la généralisation du dispositif de
dit de second niveau. Ils permettent de cor- contrôle interne. Par ailleurs des organismes
riger les anomalies que les premiers comme l’IAS ou des réglementations
contrôles ont laissé passer. comme la loi Sarbanne-Oxley imposent
– L’audit interne : aussi appelé l’inspection, aujourd’hui un dispositif d’information pré-
son rôle est vraiment d’effectuer « le cis sur ce sujet à toute société cotée. Le pro-
contrôle des contrôles » dans une logique blème pour les grandes entreprises interna-
coercitive. Il est également dépendant tionales est de combiner ces différents
directement de la direction générale et réa- référentiels, parfois contradictoires malgré
lise des interventions, programmées ou certains points communs.
non, au sein de l’ensemble des services. Il – L’audit externe : il est réalisé par les
est primordial que ce service soit bien dis- grands cabinets spécialisés qui se partagent
tinct de celui de contrôle interne et que les le travail sur un établissement (deux audi-
personnes réalisant les missions d’audit teurs sont nécessaires). Dans le cas des
soient différentes de celles assurant des banques ces cabinets développent une
missions de contrôle interne afin d’éviter la méthodologie spécifique, d’abord en raison
confusion auprès des collaborateurs. L’ob- de l’information financière particulière pro-
jectif est donc de mesurer et de contrôler duite (Lamarque, 2008) mais également en
l’application des plans de contrôle interne raison de leur rôle d’intermédiation ou de
au sein de l’établissement. l’importance des opérations de marché
– Les acteurs externes du contrôle interne qu’elles réalisent. Parmi les sujets clés de
ces audits on peut citer l’analyse de l’envi- Seule une telle analyse permet de s’assurer
ronnement pour repérer les éléments pou- que les risques sont bien identifiés et correc-
vant affecter l’activité tels que les évolu- tement reflétés dans les comptes annuels. À
tions de la réglementation, de la ces trois axes s’ajoutent une analyse du res-
démographie, de la croissance économique pect des conditions d’autorisation données
mais également évaluer les changements aux cadres de la banque et plus générale-
dans les comportements de la clientèle et de ment des règles de comportement.
l’ensemble des parties prenantes. – Les agences de notation : elles sont pour
La culture risque a été évoquée précédem- mission d’évaluer le niveau de risque d’un
ment. L’auditeur externe doit évaluer la pré- établissement grâce aux notes qu’elles leur
gnance de cette préoccupation au sein des attribuent. Fortement mise en cause au
équipes dirigeantes ainsi qu’à tous les moment de la crise des « subprimes » pour
niveaux de l’organisation. Il se fonde prin- leur vision erronée des risques, elles font
cipalement pour cela sur des informations l’objet de suspicions quant à leur indépen-
écrites relatant le plan de développement dance. Cette situation les conduit aujour-
commercial, la stratégie et les principales d’hui à redéfinir certains paramètres pour
orientations retenues par la banque. À par- évaluer l’exposition aux risques en particu-
tir de ces documents l’auditeur se fera une lier sur les marchés financiers.
idée de l’exposition au risque. Le reporting Standard & Poor’s notamment vient d’annon-

et les outils du contrôle de gestion sont cer se doter d’un ratio de solvabilité propre le
d’une grande importance à ce niveau car ils RAC ou « Risk Adjusted Capital » considé-
illustrent en général assez bien l’intensité rant ainsi comme insuffisants les change-
de cette préoccupation au sein d’un établis- ments prudentiels imposées par Bâle 2. C’est
sement. L’auditeur va alors évaluer la capa- la première fois qu’une agence va plus loin
cité qu’il a à suivre les risques au regard de que les recommandations des autorités de
ces documents. régulation. Ce système, sur le fond, n’est
L’appréciation et l’analyse de chaque cependant pas nouveau, le Risk Adjusted
risque : le principe fondamental est celui de Return On Capital relevait de cette logique
l’exhaustivité comme cela a déjà été évo- (Godowski, 2008). Standard & Poor’s fait un
qué. En trois ou quatre ans l’ensemble des constat simple et identique à celui de beau-
départements et des services doivent avoir coup de professionnels. Le nouveau disposi-
été audités et tout manquement en la tif Bâle II est appliqué de façon assez dispa-
matière est réellement porteur d’accusation rate aujourd’hui. Des banques retiennent
de laxisme et d’un risque de réputation. finalement la méthode « standard » proche de
L’auditeur doit se livrer à un travail de com- Bâle I, d’autres ont vu leur méthodes « avan-
préhension du dispositif de gestion des cées » validée par les autorités de contrôle,
risques de l’établissement et n’a pas pour d’autres encore ne sont toujours pas passés à
rôle d’imposer une méthode prédéfinie. Ce Bâle II. Les écarts d’évaluation sont donc
travail consiste à regarder si les mesures importants. Entre une perte estimée à 10 %
prises par la banque en vue de les minimi- de son portefeuille de crédit hypothécaire et
ser sont efficaces et adéquates. une perte estimée, par une autre méthode, à
15 %, le besoin en fonds propres s’accroît de organisationnelle en fonction des systèmes

50 %. L’estimation avancée par Standard & qui encadrent et contraignent les décisions
Poor’s conduirait à multiplier par trois les des dirigeants (Charreaux, 1999). Le
besoins en fonds propres réglementaires sur contrôle est un de ces systèmes et il est par-
le risque de marché par exemple4. Par ticulièrement présent dans les organisations
ailleurs Bâle II n’est pas entré en vigueur aux bancaires. Les recherches réalisées dans les
États-Unis et plusieurs experts évaluent à dix établissements montrent une implication
ans le temps nécessaire pour avoir un dispo- croissante et réelle nécessaire des structures
sitif assez homogène. de gouvernance non seulement à travers le
– Le comité d’audit : au sein du conseil rôle joué par les comités d’audit mais éga-
d’administration son rôle est également de lement le comportement de l’ensemble du
contrôler l’exposition aux risques et la conseil d’administration ou encore à travers
conformité des décisions opérationnelles le mode de management insufflé par la
d’un établissement. Comme on le verra plus direction générale.
loin il est le garant de l’application de la Le comité d’audit et l’ensemble du conseil
politique des risques décidée par la banque d’administration voient aujourd’hui leur
et il doit disposer d’un droit d’alerte vis-à- rôle évoluer. En premier lieu le COSO
vis de l’actionnariat. « Comitee of Sponsoring Organisations »5
Au regard de cette multiplicité d’acteurs vient d’ajouter une nouvelle notion « Risk

internes et externes un double sentiment appetite » dans son dispositif. Il s’agit du
habite les observateurs. D’une part, la régu- niveau de risque accepté par l’entreprise
lation que l’on a présentée comme globale- dans le but d’accroître sa valeur. Une fois
ment absente au sein du système bancaire ce niveau fixé et décidé par le conseil
est en réalité très forte et suppose une adap- d’administration, les dirigeants pourront
tation des établissements. Il semble difficile évaluer les degrés de tolérance au risque
de penser que tous les acteurs se trompent aux différents niveaux de l’organisation.
en même temps ou manquent de vigilance. Selon les recommandations même du
D’autre part, on ressent que l’efficacité de COSO la définition du Risk appetite doit
ces dispositifs suppose un niveau de coordi- précéder l’élaboration de la stratégie de
nation suffisant afin de n’oublier aucune l’entreprise. Une politique de risque pré-
dimension de l’activité bancaire. Ce niveau cise doit donc être établie en préalable à
de coordination doit être assuré par une gou- toute décision stratégique et être validée
vernance efficace du système de contrôle. par le conseil d’administration. Le comité
d’audit n’assure donc pas simplement une
2. La gouvernance du système mission de vérification de l’application de
de contrôle interne cette politique de risque. Il est une force de
La gouvernance se donne comme objectif proposition du contenu de cette politique
principal l’explication de la performance avec l’appui d’un comité des risques,
4. Réflexion citée dans Les Échos, 16 avril 2008.

5. Organisme international qui promeut des normes communes de contrôle interne.
généralement présent au sein des conseils comportements il est donc nécessaire de

d’administration de banques. mettre sur pied des systèmes qui sont de
Comme l’indique le rapport du COSO II, nature à influencer positivement le compor-
les structures de gouvernance doivent être tement des décideurs.
capables d’assurer une synthèse entre les Au niveau des instances exécutives de la
informations en provenance des acteurs gouvernance, la direction générale reste l’in-
internes comme de celles provenant des ducteur décisif de l’application de la poli-
acteurs externes avec comme objectif prin- tique risque de l’établissement. Pour cela
cipal une supervision de la gestion des elle s’appuie sur un dispositif interne et
risques sur quelques domaines précis6 : externe visant à sécuriser le fonctionnement
– connaître le périmètre de couverture effi- de l’entreprise. Son rôle et son influence
cace de gestion des risques mis en place par managériale sont décisive pour créer un
le management de l’organisation ; environnement favorable qui doit influencer
– connaître et être en accord avec le risk positivement l’ensemble du système
appetite de l’organisation ; (Siguret et al., 2006). Cette idée d’« envi-
– revoir le portefeuille de risques et effec- ronnement favorable » suppose la mise en
tuer un rapprochement avec le risk place de structures organisationnelles claires
appetite ; où les responsabilités sont bien définies et
– être informé des risques les plus signifi- les droits de décision sont alloués à ceux en

catifs et de la pertinence de la prise en charge d’exercer des missions de contrôle.
charge de ces risques. La fonction d’audit interne aide la direction
Un ultime sujet sur lequel le conseil d’admi- générale et le conseil d’administration avec
nistration doit assurer une surveillance se son comité d’audit, à assumer effectivement
situe au niveau des dispositifs de rémunéra- et efficacement leurs responsabilités en
tion à destination des dirigeants. La question matière de dispositif de contrôle. Un
du système d’incitation est fondamentale compte rendu semestriel d’activité et les
dans la recherche de l’efficacité écono- résultats du contrôle interne sont présentés
mique mais également de l’efficacité des à l’organe délibérant ainsi qu’un rapport
contrôles. En effet, selon Brickley et al. annuel des éléments essentiels et des ensei-
(2000), les comportements déviants sont gnements principaux des mesures de
exclusivement individuels et de nature non risques, notamment de répartition des enga-
éthique en général. Ils prennent leur source gements par zones de vulnérabilité. Les
dans l’inexistence des systèmes incitatifs ou audits externes des commissaires aux
dans l’inefficacité de ces systèmes tout comptes complètent ce dispositif. Ils colla-
autant que dans l’opacité des structures borent notamment avec l’audit interne pour
organisationnelles. Les incitations peuvent optimiser la couverture des activités à audi-
être contre-productives et inductrices de ter. Ils sont destinataires du rapport de syn-
coûts si elles ne sont pas clairement définies thèse décrivant les conditions dans les-
et adaptée à la structure de l’organisation. quelles le contrôle interne est assuré sur
Pour contrer et anticiper l’occurrence de ces l’ensemble du groupe, et le rapport de syn-
6. Rapport COSO II
thèse sur la mesure et la surveillance des Il est donc essentiel que le rôle des ins-
risques auxquels les établissements de cré- tances de gouvernance continue de s’ac-
dits sont exposés. croître et que leur responsabilité continue
Enfin, comme pour le conseil d’administra- d’augmenter face aux instances de régula-
tion, la direction générale doit être vigilante tion. Il est nécessaire d’avoir aujourd’hui
sur les dispositifs d’incitation que celle-ci une vision élargie de la fonction contrôle,
met en place et qui sont généralement fon- bien au-delà du contrôle de gestion, comme
dés, dans les activités de trading notam- partie prenante du dispositif de gouver-
ment, sur la performance financière des nance (Bouquin, 2004). Ce modèle est donc
acteurs. susceptible de constituer une référence pour
Un tel raisonnement peut s’étendre au dis- les régulateurs dans le cadre de la définition
positif de contrôle. Tant que l’ensemble des de leurs attentes en vue d’édicter des règles
collaborateurs ne percevront pas réellement ou des directives ou lorsqu’ils procèdent à
la valeur ajoutée de l’activité de contrôle, des contrôles.
tant qu’elle ne sera pas prise en compte plus Cet article avait pour ambition de plaider en
explicitement dans l’objectif des commer- faveur d’un mélange équilibré entre
ciaux comme des managers, le contrôle sera approches quantitative et qualitative de la
vécu comme une contrainte supplémentaire gestion du risque opérationnel bancaire.
dans l’exercice de leur activité. Même si Faut-il rappeler qu’un modèle n’est et ne

plusieurs banques à réseau nous ont sera jamais rien de plus qu’une « grille de
confirmé avoir intégré des objectifs de lecture simplifiée face à la complexité, qui
conformité dans les objectifs généraux des aide à prendre des décisions. Il est adapté à
vendeurs, ces derniers reconnaissent sou- un problème spécifique et il faut aussi avoir
vent qu’ils ne font souvent pas le poids face une grande conscience de ses limites de
à des résultats commerciaux. On peut validité7 » ? C’est lorsque la finance se met
d’ailleurs se demander si la progression à chercher du risque pour trouver du rende-
continue de ce type d’objectifs est réelle- ment que la gestion des risques prend véri-
ment compatible avec un fonctionnement tablement tout son sens.
en totale conformité (Lamarque, 2008).
BIBLIOGRAPHIE
Basel Committee on Banking Supervision, “Basel II : International Convergence of
Capital Measurement and Capital Standards : A Revised Framework – Comprehensive
Version”, Basel, June 2006.
Bouquin H., Le contrôle de gestion : contrôle de gestion, contrôle d’entreprise et
gouvernance, 6e édition, PUF, coll. « Gestion », 2004.
Brickley J.A., Smith C.W. et Zimmerman J.-L., “Business ethics and organisational
architecture”, Working paper n°FR 00-14, The Bradley Policy research center, 2000.
7. Interview de Nicole El Karoui, responsable du master « probabilités et finance » de l’université Paris-VI et pro-
fesseur à l’École polytechnique, Les Échos, lundi 10 mars 2008.
Charreaux G., « La théorie positive de l’agence : lectures et relectures », De nouvelles théo-

ries pour gérer l’entreprise du XXIe siècle, G. Koenig éd., Economica, 1999.
COSO 2, Entreprise Risk Management Framework, www.coso.org/Publications/
ERM/COSO_ERM_ExecutiveSummary_french.pdf
Feller W., An introduction to Probability Theory and Its Applications, vol. II, second
edition, Wiley Series in Probability and Mathematical Statistics, Wiley, 1971.
Frachot A., Moudoulaud O. et Roncalli T., “Loss Distribution Approach in Practice”, The
Basel Handbook : A Guide for Financial Practitioners, M. Ong (eds), Risk Books, 2003.
Frachot A., Roncalli T. et Salomon E., “Correlation and Diversification Effects in Operatio-
nal Risk Modelling”, Operational Risk, May 2004.
Godowski Ch., « La quantification des risques de marché et de crédit : fondement de l’acti-
vité bancaire », Management de la banque : Risques, relation client, Lamarque É. éd.,
organisation, 2e édition, Pearson, 2008.
Klugman S., Panjer H. et Willmot G., Loss Models : from Data to Decisions, 2nd edition,
Wiley, 2004.
Lamarque E., « Coordonner un système global de contrôle des risques : entre gouvernance et
contrôle interne », Management de la banque : Risques, relation client, Lamarque É. éd.,
organisation, 2e édition, Pearson, 2008.
Mignola G., et Ugoccioni R., “Tests of Extreme Value Theory Applied to Operational Risk

Data”, Operational Risk E. Davis (eds), Risk Books, 2005.
Olfield G.S. et Santomero A.M., “Risk management in financial institutions”, Sloan
Management Review, vol. 39, n° 1, 1997, p. 33-46.
Roncalli T., La gestion des risques financiers, Economica, 2004.
Siguret J.-L., Fernandez E. et Koessler L., Le contrôle interne bancaire et la fraude, Dunod,
2006.

RFG 191 0093

Transféré par

Droits d'auteur :

Formats disponibles

RFG 191 0093

Transféré par

Informations du document

Titre original

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

RFG 191 0093

Transféré par

Droits d'auteur :

Formats disponibles

Le risque opérationnel bancaire

Dispositif d'évaluation et système de pilotage

© Lavoisier | Téléchargé le 19/03/2024 sur www.cairn.info (IP: 196.117.122.101)

Article disponible en ligne à l’adresse

Découvrir le sommaire de ce numéro, suivre la revue par email, s’abonner...

Distribution électronique Cairn.info pour Lavoisier.

© Lavoisier | Téléchargé le 19/03/2024 sur www.cairn.info (IP: 196.117.122.101)

DOI:10.3166/RFG.191.93-108 © 2009 Lavoisier, Paris

© Lavoisier | Téléchargé le 19/03/2024 sur www.cairn.info (IP: 196.117.122.101)

Type de risque (j)

© Lavoisier | Téléchargé le 19/03/2024 sur www.cairn.info (IP: 196.117.122.101)

Financement 0,04 0,04 0,19 0,19 0,04 0,02 0,47

Banque 0,19 3,68 0,17 0,60 0,11 0,09 1,96

(VaR) au risque opérationnel. La VaR opé- outre, l’estimation de ce paramètre se fait

© Lavoisier | Téléchargé le 19/03/2024 sur www.cairn.info (IP: 196.117.122.101)

Figure 1 – La VaR opérationnelle (OpVaR) à 99,9 %

des données fondamentalement différentes 2004). La distribution de probabilité de

© Lavoisier | Téléchargé le 19/03/2024 sur www.cairn.info (IP: 196.117.122.101)

exceptionnelles (UL) et moyennes (EL). termes, il appartient à la banque de valider

© Lavoisier | Téléchargé le 19/03/2024 sur www.cairn.info (IP: 196.117.122.101)

Figure 2 – Les cinq piliers de la résilience opérationnelle

sur le risque opérationnel

Produit Net Bancaire

© Lavoisier | Téléchargé le 19/03/2024 sur www.cairn.info (IP: 196.117.122.101)

Un modèle de résilience opérationnelle est ORF sont dédiées à l’évaluation et surtout

Figure 3 – Les six étapes clés de la gestion du risque opérationnel

© Lavoisier | Téléchargé le 19/03/2024 sur www.cairn.info (IP: 196.117.122.101)

© Lavoisier | Téléchargé le 19/03/2024 sur www.cairn.info (IP: 196.117.122.101)

largement les capacités effectives de suivi interne précis. Le règlement du Comité de

© Lavoisier | Téléchargé le 19/03/2024 sur www.cairn.info (IP: 196.117.122.101)

d’aider l’ensemble des services de la – Le régulateur : derrière ce terme générique

© Lavoisier | Téléchargé le 19/03/2024 sur www.cairn.info (IP: 196.117.122.101)

© Lavoisier | Téléchargé le 19/03/2024 sur www.cairn.info (IP: 196.117.122.101)

15 %, le besoin en fonds propres s’accroît de organisationnelle en fonction des systèmes

© Lavoisier | Téléchargé le 19/03/2024 sur www.cairn.info (IP: 196.117.122.101)

4. Réflexion citée dans Les Échos, 16 avril 2008.

généralement présent au sein des conseils comportements il est donc nécessaire de

© Lavoisier | Téléchargé le 19/03/2024 sur www.cairn.info (IP: 196.117.122.101)

© Lavoisier | Téléchargé le 19/03/2024 sur www.cairn.info (IP: 196.117.122.101)

Charreaux G., « La théorie positive de l’agence : lectures et relectures », De nouvelles théo-

© Lavoisier | Téléchargé le 19/03/2024 sur www.cairn.info (IP: 196.117.122.101)

Vous aimerez peut-être aussi