16.6.

2012 FR Journal officiel de l’Union européenne C 173/1

IV
(Informations)

INFORMATIONS PROVENANT DES INSTITUTIONS, ORGANES ET

ORGANISMES DE L'UNION EUROPÉENNE

COUR DES COMPTES

RAPPORT
sur l'audit de la gestion des risques à la Banque centrale européenne pour l'exercice 2010,
accompagné des réponses de la BCE
(2012/C 173/01)

TABLE DES MATIÈRES

Points Page

INTRODUCTION . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-4 3

ÉTENDUE ET APPROCHE DE l’AUDIT . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5-6 3

OBSERVATIONS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7-91 3

La BCE a-t-elle mis en place un cadre de gouvernance approprié et complet pour la gestion des
risques? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7-18 3

Cadre global de gestion des risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-14 3

Communication d'informations aux tierces parties concernant le cadre de gestion des risques de 15-18 4
la BCE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

La BCE a-t-elle géré efficacement les risques opérationnels auxquels elle est exposée? . . . . . . . . . . . 19-66 5

Gestion des risques opérationnels . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20-39 5

Gestion de la continuité des activités à la BCE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40-66 7

La BCE a-t-elle géré efficacement les risques financiers auxquels elle est exposée? . . . . . . . . . . . . . . . 67-91 10

Cadre de gestion des risques financiers pour les opérations de placement et autres activités 69-74 10
bancaires . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Méthodologie de gestion des risques financiers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 75-83 11

Application de la méthodologie de gestion des risques financiers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 84-88 12

Caractère adéquat de la communication d'informations sur les risques financiers . . . . . . . . . . . . . 89-91 12

CONCLUSIONS ET RECOMMANDATIONS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 92-100 13

La BCE a-t-elle mis en place un cadre de gouvernance approprié et complet pour la gestion des
risques? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 92-93 13

La BCE a-t-elle géré efficacement les risques opérationnels auxquels elle est exposée? . . . . . . . . . . . 94-98 13

La BCE a-t-elle géré efficacement les risques financiers auxquels elle est exposée? . . . . . . . . . . . . . . . 99-100 13

Réponses de la Banque centrale européenne . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15

C 173/2 FR Journal officiel de l’Union européenne 16.6.2012

ABRÉVIATIONS, ACRONYMES ET SIGLES

BCE Banque centrale européenne

BCM Business Continuity Management (gestion de la continuité des activités)

BCN Banques centrales nationales

BPH Business Practice Handbook (manuel des pratiques opérationnelles)

BRI Banque des règlements internationaux

CRO Chief Risk Officer (responsable des risques)

D-CO Direction Communication

DG A Direction générale Administration

DG H Direction générale Ressources humaines, budget et organisation

DG IS Direction générale Systèmes d'information

DG M Direction générale Opérations de marché

DG P Direction générale Systèmes de paiement

DG S Direction générale Statistiques

FOS Division Services liés aux opérations financières

GIPS Global Investment Performance Standards (normes internationales de présentation des performances)

IAS International Accounting Standards (normes comptables internationales)

IASB International Accounting Standards Board (organisme adoptant des normes comptables internationales)

IFRS International Financial Reporting Standards (normes internationales d'information financière)

INV Division Placements

MOS Division Systèmes des opérations de marché

OFM Own Funds Management (gestion des fonds propres)

ORC Operational Risk Committee (comité du risque opérationnel)

ORM Operational Risk Management (gestion des risques opérationnels)

RMA Division Gestion des risques (au sein de la DG H)

SEBC Système européen de banques centrales

VaR Value at risk (valeur en risque)

16.6.2012 FR Journal officiel de l’Union européenne C 173/3

INTRODUCTION — La BCE a-t-elle géré efficacement les risques opérationnels

auxquels elle est exposée?
1. La Banque centrale européenne (BCE) et les banques
centrales nationales de l'ensemble des États membres de — La BCE a-t-elle géré efficacement les risques financiers
l'Union européenne (UE) constituent le Système européen de auxquels elle est exposée?
banques centrales (SEBC). L'objectif principal du SEBC est de
maintenir la stabilité des prix. Le SEBC apporte également son 6. L'audit de la gestion des risques à la BCE (8) comprenait les
soutien aux politiques économiques générales dans l'UE en vue éléments suivants:
de contribuer à la réalisation des objectifs de l'Union (1). À cette
fin, la BCE s'acquitte des tâches définies dans ses statuts (2) et est a) un examen du cadre global de gestion des risques à la BCE, y
responsable de la gestion de ses activités et de ses finances. compris une analyse des meilleures pratiques dans d'autres
organisations internationales similaires dans le domaine de la
2. L'audit de l'efficience de la gestion de la BCE par la Cour gestion des risques (9);
des comptes européenne (ci-après la «Cour») est fondé sur l'ar­ b) un examen du cadre de gestion des risques opérationnels et
ticle 27, paragraphe 2, du protocole fixant les statuts du SEBC de la réalisation de tests auprès des six entités organisation­
et de la BCE (3). L'audit relatif à 2010 a porté sur les procédures nelles sélectionnées (directions générales) afin d'évaluer la
et les systèmes de gestion des risques mis en place par la BCE, mise en œuvre du cadre de gestion des risques. La sélection
ainsi que sur leur application. a reposé sur les critères suivants: i) assurer la couverture des
risques opérationnels importants, ii) couvrir les activités prin­
3. Les organes de décision de la BCE sont le conseil des cipales et annexes de la BCE et iii) couvrir les activités néces­
gouverneurs et le directoire (4). Celui-ci met en œuvre la poli­ sitant une gestion des risques horizontaux. Les directions
tique monétaire conformément aux orientations et aux décisions générales sélectionnées étaient les suivantes: Opérations de
arrêtées par le conseil des gouverneurs (5) et assume la respon­ marché (DG-M), Systèmes de paiement (DG-P), Statistiques
sabilité globale de la gestion des activités courantes de la BCE et (DG-S), Administration (DG-A), Systèmes d'information (DG-
de ses ressources. Le directoire est également responsable en IS), ainsi que la direction Communication (D-CO);
dernier ressort de la gestion des risques à la BCE.
c) un examen du cadre de gestion des risques financiers et la
4. La gestion des risques à la BCE est assurée par le biais de réalisation de tests approfondis couvrant la division Gestion
deux cadres distincts. L'unité responsable de la gestion des des risques (RMA) de la DG Ressources humaines, budget et
risques opérationnels [ORM (6)/BCM] couvre l'ensemble des organisation (DG-H), ainsi que les divisions Systèmes des
risques opérationnels (voir note 22 de bas de page), y opérations de marché (MOS), Services liés aux opérations
compris la continuité des activités. La division Gestion des financières (FOS) et Placements (INV) de la DG-M. La métho­
risques (RMA) est chargée de la gestion des risques financiers dologie adoptée à la BCE en matière de gestion des risques et
(voir point 70), y compris des activités de placement et des son application ont été évaluées en recourant à l'assistance
opérations de crédit de la BCE. technique d'une équipe d'experts en risques financiers du
cabinet Ernst and Young Luxembourg.
ÉTENDUE ET APPROCHE DE L’AUDIT
OBSERVATIONS
5. L'audit de la Cour relatif à l'exercice 2010 avait pour
objectif d'évaluer le caractère approprié du cadre de gestion La BCE a-t-elle mis en place un cadre de gouvernance appro­
des risques opérationnels et financiers de la BCE (7). Pour prié et complet pour la gestion des risques?
évaluer la gestion des risques à la BCE, les questions d'audit
7. L'ambition affichée de la BCE est d'appliquer les meilleures
clés suivantes ont été examinées:
pratiques dans le cadre de sa gestion des risques: la Banque
centrale européenne a accordé, dès le départ, une attention
— La BCE a-t-elle mis en place un cadre de gouvernance appro­ particulière à la gestion des risques. En tant que nouveau
prié et complet pour la gestion des risques? membre de la communauté des banques centrales, elle avait
pour ambition d'appliquer les normes les plus élevées en
(1) Article 127, paragraphe 1, du traité sur le fonctionnement de matière de gouvernance en mettant en place une fonction de
l’Union européenne. gestion des risques au sein de l'institution et en utilisant des
(2) Les statuts du SEBC et de la BCE sont définis dans un protocole joint outils de pointe (10).
aux traités.
(3) L'article 27, paragraphe 2, du protocole sur les statuts du SEBC et de Cadre global de gestion des risques
la BCE stipule que «les dispositions de l'article 287 du traité sur le
fonctionnement de l'Union européenne s'appliquent uniquement à 8. Une «culture du risque» forte à l'échelle de l'institution est l'une
un examen de l'efficience de la gestion de la BCE».
(4) Article 9, paragraphe 3, du protocole sur les statuts du SEBC et de la
des pierres angulaires d'une gestion des risques efficace. La création de
BCE. Le conseil des gouverneurs se compose des six membres du
directoire et des gouverneurs des banques centrales nationales de la (8) L'audit n'a pas porté sur la gestion des risques au niveau du Système
zone euro. Le directoire se compose du président, du vice-président européen des banques centrales (SEBC).
et de quatre autres membres. (9) Des visites d'information ont été effectuées auprès de la Banque
(5) Article 12, paragraphe 1, du protocole sur les statuts du SEBC et de fédérale de réserve de New York et de la Banque du Canada, et
la BCE. des questionnaires ont été adressés à ces mêmes banques ainsi qu'à
(6) La gestion des risques opérationnels couvre les risques liés aux acti­ la Banque nationale suisse.
vités de la BCE, y compris ceux liés aux processus et aux projets qui (10) José Manuel González-Páramo, membre du directoire de la BCE,
relèvent du SEBC/de l'Eurosystème. Ulrich Bindseil et Evangelos Tabakis, Risk Management for Central
(7) Les critères utilisés par la Cour à cet effet apparaissent en caractères Banks and Other Public Investors (Gestion des risques pour les
italiques dans le présent document. Sauf indication contraire, il s'agit banques centrales et autres investisseurs publics), Cambridge
de ses propres critères. University Press 2009.
C 173/4 FR Journal officiel de l’Union européenne 16.6.2012

cette culture du risque présuppose l'établissement d'une fonction de aux tâches de gestion des risques, les décisions en la matière
gestion des risques complète (couvrant tous les types de risques, relevant de la compétence de la DG-H.
toutes les lignes d'activité et tous les risques pertinents) et indépen­
dante, sous la responsabilité directe du responsable des risques (Chief 14. Un examen des meilleures pratiques dans d'autres orga­
Risk Officer, CRO) ou, si celui-ci n'a pas été désigné, des cadres nisations internationales similaires a montré que la Banque du
dirigeants, conformément au principe de proportionnalité (11). Canada avait adopté un cadre intégré de gestion des risques
comportant un responsable des risques et un groupe de
9. Au sein de la BCE, chaque unité organisationnelle (12) est
travail sur la gestion des risques. Ces deux derniers sont
responsable de la gestion de ses propres risques et contrôles.
chargés d'élaborer le profil de risque complet de la Banque,
Dans le cadre du processus de gestion des risques, deux fonc­
en prenant en considération les risques opérationnels et finan­
tions/divisions fournissent un appui aux unités organisation­
ciers, ainsi que ceux liés aux activités, comme cela est décrit à
nelles:
l'encadré 1. Le cadre de gestion des risques de la Banque s'inscrit
— la fonction ORM/BCM (13) est chargée d'actualiser la métho­ pleinement dans ses processus de planification stratégique, d'éta­
dologie, de coordonner l'ensemble des activités liées aux blissement du budget et d'évaluation des performances en fin
risques opérationnels, ainsi que de fournir, de manière d'année.
proactive, des conseils aux entités organisationnelles (14),
— la division Gestion des risques (RMA) est compétente pour Encadré 1
les risques financiers (15). Elle est chargée de proposer des
politiques et des procédures, ainsi qu'un appui organisa­ Exemple d'une gestion intégrée des risques – Banque du
tionnel dans le domaine de la gestion des risques pour Canada
toutes les opérations sur le marché financier conduites par
la BCE, ou par l'Eurosystème pour le compte de la BCE. Le responsable des risques assume les responsabilités
Cette division est composée de deux unités: les sections suivantes:
Analyse des risques et Stratégie en matière de risques.
— il dirige l'élaboration et l'amélioration du cadre stratégique
10. Pour assister le directoire dans sa prise de décision, de gestion intégrée des risques pour approbation par l'en­
plusieurs comités chargés de différents aspects de la gestion cadrement,
des risques ont été mis en place, notamment le comité du
risque opérationnel, le comité d'investissement, le comité «actif — il fournit des orientations et des conseils en matière de
– passif» et le comité du crédit. gestion des risques aux autres cadres dirigeants, et préside
le groupe de travail sur la gestion des risques,
11. La BCE dispose d'une structure organisationnelle
complète, avec une répartition claire des rôles et des responsa­ — il copréside, avec le ministère des finances, le comité de
bilités. Toutefois, il existe une séparation marquée entre la gestion du risque du comité de gestion des fonds.
gestion des risques financiers et opérationnels au sein de la
BCE, ce qui augmente la probabilité de ne pas disposer d'une Le groupe de travail sur la gestion des risques exécute les
vue d'ensemble complète des risques auxquels elle est exposée. tâches suivantes:

12. Aucune autorité indépendante et unique, tel un respon­ — il facilite la mise à jour complète de l'autoévaluation des
sable des risques (CRO) ou un comité général de gestion des risques de la Banque et l'établissement du rapport annuel
risques, n'a été mise en place pour faire le lien entre le directoire et semestriel sur la gestion des risques,
et la fonction/les unités chargées de la gestion des risques, à
— il se réunit trois à quatre fois par an pour examiner le
savoir la fonction ORM/BCM et les unités relevant de la division
profil de risque de la Banque et pour partager, avec les
RMA. Au moment de l'audit, le membre du directoire chargé de
représentants des différents départements et fonctions, les
la gestion des risques cumulait également des responsabilités
initiatives en matière de gestion des risques.
dans un certain nombre d'autres domaines, alors qu'un respon­
sable des risques se concentrerait exclusivement sur la gestion
des risques.
13. En outre, l'absence d'une fonction de gestion des risques Communication d'informations aux tierces parties concer­
indépendante d'un point de vue hiérarchique renforce le risque nant le cadre de gestion des risques de la BCE
qu'une priorité insuffisante soit accordée aux questions de
gestion des risques, par exemple à l'affectation de personnel 15. La communication d'informations au public devrait être suffi­
sante pour permettre aux tierces parties d'évaluer l'approche adoptée par
la BCE en matière de gestion des risques.
(11) «High-level principles for risk management» (Principes directeurs en
matière de gestion des risques), Comité européen des contrôleurs
bancaires (CEBS), février 2010 (dans le texte: caractères italiques 16. La BCE publie un rapport annuel, y compris les comptes
introduits par la Cour des comptes européenne; le passage appa­ annuels et les notes d'information qui s'y rapportent (16). Les
raissant en gras dans le texte original est rendu par une police de informations relatives à la gestion des risques sont relativement
caractères normale). limitées dans les comptes annuels et celles relatives aux prin­
(12) Section, division, direction ou direction générale. cipes et aux données chiffrées en matière de gestion des risques
(13) Celle-ci relève de la DG-H.
(14) La fonction ORM/BCM remplit également le rôle de secrétariat pour
à la BCE ne sont pas rendues publiques [à l'exception de
le comité du risque opérationnel (ORC).
(15) Bien que partie intégrante de la DG-H d'un point de vue adminis­ (16) La BCE utilise son propre référentiel de présentation de l'informa­
tratif, la division RMA fait directement rapport au membre du tion comptable, établi par la décision BCE/2006/17 concernant les
directoire responsable de la gestion des risques financiers. comptes annuels de la BCE, telle qu'elle a été modifiée.
16.6.2012 FR Journal officiel de l’Union européenne C 173/5

l'indicateur consolidé correspondant à la value at risk, VaR (17)]. Communication d'informations

Le rapport annuel de la BCE aborde brièvement certaines ques­ Organisation sur la gestion des risques dans Référentiel comptable
tions de gestion des risques, mais ne présente ni une vue d'en­ les comptes annuels
semble du processus de gestion des risques au sein de l'organi­ Banque du Les comptes annuels IFRS (19)
sation, ni les risques encourus, ni l'approche adoptée par l'en­ Canada comprennent une vue
cadrement pour y faire face. d'ensemble du processus
de gestion des risques, de
17. L'utilisation des normes internationales d'information la structure de gouver­
financière (International Financial Reporting Standards – IFRS) (18) nance des risques, du rôle
représente la meilleure pratique en matière de présentation des du responsable des risques
comptes des entités. Toutefois, la norme IFRS 7 «Instruments financiers, des risques
financiers: informations à fournir», qui concerne la présentation financiers encourus par la
banque, ainsi qu'une vue
des risques encourus au niveau des comptes d'une organisation,
d'ensemble détaillée des
n'a pas été appliquée par la BCE. risques de crédit, des
risques de marché et des
18. D'autres banques centrales nationales ou internationales risques de liquidité.
comme la Banque des règlements internationaux (BRI) et la
Banque du Canada communiquent, dans le cadre de leurs
états financiers annuels, des informations sur la gestion des La BCE a-t-elle géré efficacement les risques opérationnels
risques, bien que l'une d'entre elles n'applique pas les IFRS auxquels elle est exposée?
(voir encadré 2 ci-après).
19. La gestion de la continuité des activités vient compléter
le cadre de gestion des risques opérationnels (ORM) de la BCE;
Encadré 2
ensemble, ils forment un élément important de la gouvernance
Illustration de la communication d'informations relatives d'entreprise (20).
à la gestion des risques
Gestion des risques opérationnels
Communication d'informations
Organisation sur la gestion des risques dans Référentiel comptable 20. Un cadre de gestion des risques opérationnels efficace
les comptes annuels comporte des stratégies précises, fait l'objet d'une supervision
par le conseil d'administration et les cadres dirigeants, suppose
Banque des Les comptes annuels Référentiel spécifique une culture forte en matière de risque opérationnel et de
règlements comprennent des infor­ d'information finan­ contrôle interne (y compris une répartition claire des responsa­
internationaux mations concernant les cière mentionné dans bilités et une séparation des tâches), ainsi qu'un système interne
(BRI) risques encourus par la les statuts de la
banque, l'approche et banque
de communication des informations efficace.
l'organisation en matière
de gestion des risques,
21. Pour évaluer la gestion des risques opérationnels à la
ainsi qu'une vue d'en­ BCE, la Cour a examiné:
semble détaillée des
risques de crédit, des — les politiques en matière de gestion des risques opérationnels
risques de marché, des mises en place à la BCE,
risques de liquidité et des
risques opérationnels. — la structure organisationnelle et les responsabilités en ce qui
concerne la gestion des risques opérationnels,

(17) La VaR est une mesure couramment utilisée pour évaluer le risque — le lien avec la planification stratégique et financière (cycle
de perte pour un portefeuille d'actifs financiers donné. Pour un budgétaire annuel),
portefeuille, un niveau de confiance et un horizon temporel
donnés, la VaR se définit comme la valeur seuil reflétant la proba­ — l'identification des risques, leur évaluation et les réponses à
bilité de voir la perte du portefeuille évaluée à la valeur du marché, apporter, l'établissement de rapports, le contrôle et le suivi
pour la période visée, la dépasser, dans des conditions de marché au niveau des entités organisationnelles ainsi qu'au niveau
normales et à portefeuille identique. [Source: Value at Risk: The New central.
Benchmark for Managing Financial Risk (Value at Risk: la nouvelle
référence pour la gestion des risques financiers), (3e édition), Politiques en matière de risques opérationnels
Philippe Jorion, McGraw-Hill Professional, 2006.]
(18) Les normes internationales d'information financière (IFRS) sont des 22. Les politiques de gestion des risques opérationnels devraient
normes, des interprétations et un cadre fondés sur des principes fournir une définition précise du risque opérationnel à l'échelle de la
adoptés par l'International Accounting Standards Board (IASB), égale­ banque, ainsi que présenter les principes sous-tendant l'approche
ment connues sous leur ancienne appellation de normes compta­ adoptée par la banque en matière d'identification, d'évaluation, de
bles internationales (IAS). En février 2001, la Commission euro­
péenne a présenté une proposition de règlement disposant que
suivi et de maîtrise/d'atténuation des risques.
toutes les sociétés de l'UE cotées sur un marché réglementé, y
compris les banques et les compagnies d'assurances, étaient (19) Jusqu'au 31 décembre 2010, la Banque du Canada établissait ses
tenues de préparer leurs comptes consolidés conformément aux rapports conformément aux principes comptables généralement
normes comptables internationales d'ici 2005. Les États membres admis canadiens (Canadian Generally Accepted Accounting Principles),
de l'UE avaient la possibilité d'étendre cette exigence aux sociétés la présentation des informations sur la gestion des risques étant
non cotées et aux différents comptes des sociétés. Un mécanisme toutefois comparable aux IFRS. Depuis le 1er janvier 2011, la
européen d'adoption des normes comptables internationales, aux Banque du Canada établit ses rapports conformément aux IFRS.
niveaux politique et technique, a été mis en place afin de suivre (20) Chapitre 26 du «Business Practices Handbook» (BPH, Manuel des
l'intégration de ces normes au sein de l'UE. pratiques opérationnelles).
C 173/6 FR Journal officiel de l’Union européenne 16.6.2012

23. Le cadre de gestion des risques opérationnels à la BCE a coordinateur de gestion des risques, qui apporte son soutien à la
été adopté par le directoire en octobre 2007 (21) et sa descrip­ direction des entités organisationnelles en matière de gestion des
tion figure dans le Business Practice Handbook, publié sur l'in­ risques opérationnels (ORM) et qui serve d'interlocuteur pour
tranet et accessible à l'ensemble du personnel. Il présente, ces questions au sein de l'entité. En outre, la direction des
dans les grandes lignes, la définition de la gestion des risques entités organisationnelles est également chargée de veiller à ce
opérationnels de la BCE (22), la politique de tolérance au risque, que le personnel acquière et entretienne les compétences néces­
ainsi que la répartition des rôles et des responsabilités; en outre, saires pour assumer ses responsabilités et l'obligation de rendre
il donne une vue d'ensemble des politiques en matière d'évalua­ compte en ce qui concerne la gestion des risques opérationnels.
tion, de réponses à apporter, d'établissement de rapports et de La fonction ORM/BCM devrait renforcer le cadre de gestion des
suivi. risques opérationnels et en assurer le fonctionnement, ainsi que
coordonner l'approche des différentes entités organisationnelles
24. Les politiques de gestion des risques opérationnels qui en la matière.
ont été établies fournissent une définition précise du risque
opérationnel à l'échelle de la Banque et présentent les principes 28. Sur les huit personnes de la fonction ORM/BCM, seules
sous-tendant l'approche adoptée par la BCE en matière d'éva­ quatre étaient des employés permanents au moment de l'audit.
luation, de suivi et de maîtrise/d'atténuation des risques. En Les autres avaient été détachées par les banques centrales natio­
revanche, le Business Practice Handbook ne donne aucune préci­ nales, ou travaillaient sous contrat à durée déterminée pour une
sion sur l'approche utilisée par la BCE pour identifier les risques. période de trois mois à deux ans. La rotation des effectifs est
donc élevée, ce qui conduit à une rupture de continuité au sein
Structure organisationnelle et responsabilités d'une fonction importante et augmente le risque que le cadre de
gestion des risques opérationnels ne soit pas correctement mis
25. La direction de l'entité organisationnelle devrait être responsable en œuvre à la BCE.
de la mise en œuvre des politiques, des processus et des procédures en
matière de gestion des risques opérationnels, et ce pour l'ensemble des 29. Le degré de sensibilisation du personnel au cadre de
activités, des processus et des systèmes importants de la banque. En gestion des risques opérationnels a été inclus dans les enquêtes
outre, celle-ci devrait être dotée d'un système de gestion des risques menées en 2009 et 2010. En 2009, l'enquête a montré que près
opérationnels, avec des responsabilités claires assignées à une fonction de 40 % des répondants estimaient qu'ils n'avaient pas reçu
de gestion des risques. suffisamment d'informations sur la gestion des risques opéra­
tionnels; 56 % déclaraient ne pas savoir qui avait été nommé
26. À la BCE, le directoire est responsable en dernier ressort coordinateur de gestion des risques dans leur entité organisa­
de la gestion des risques opérationnels. Le comité du risque tionnelle et 45 % ignoraient où trouver les informations rela­
opérationnel (ORC) traite les questions stratégiques à moyen tives à la gestion des risques opérationnels sur l'intranet. En
terme, ainsi que certaines questions spécifiques de court terme 2010, l'enquête a révélé que 40 % du personnel ne savaient
présentant un intérêt (23). Le comité se compose d'un membre toujours pas où se procurer les informations en question.
du directoire (le président) ainsi que de sept cadres dirigeants de
la Banque (24). Il dispose de pouvoirs décisionnels en matière Lien avec la planification stratégique et financière (cycle budgétaire
d'acceptation des risques d'un niveau moyen, les risques élevés annuel)
devant toujours être soumis à l'acceptation du directoire. Le
comité se réunit tous les deux mois, ou plus, le cas échéant. 30. La gestion des risques devrait être ancrée dans la gouvernance
de la BCE et faire partie intégrante de la planification stratégique,
opérationnelle et financière de la banque.
27. Le Business Practice Handbook met clairement en évidence
la responsabilité des entités organisationnelles en ce qui
concerne la gestion de leurs propres risques opérationnels (25). 31. L'évaluation annuelle des risques opérationnels réalisée
Par conséquent, chaque entité devrait désigner (au moins) un par les entités organisationnelles et la fonction ORM/BCM
joue un rôle important dans l'établissement du profil de
risque de la BCE. En 2009, les entités organisationnelles ont
(21) En 2008, le directoire a décidé d'harmoniser le cadre de gestion des
risques opérationnels de la BCE avec celui adopté au niveau du procédé aux évaluations de juin à août 2009, puis une
SEBC. réunion de calage a eu lieu avec les coordinateurs de gestion
(22) Le risque opérationnel y est défini comme le risque d'incidence des risques. Le rapport établi sur la base d'une approche dite
négative sur les finances, les activités et/ou la réputation, résultant descendante a été achevé en janvier 2010.
de l'inadéquation ou de la défaillance de la gouvernance et des
processus internes ou provenant de personnes, de systèmes ou
d'événements extérieurs.
32. Le profil de risque devrait constituer l'un des éléments
(23) Son mandat consiste à stimuler et à superviser l'élaboration, la mise participant au processus de planification stratégique, qui est à
en œuvre et le maintien à jour de la gestion des risques opération­ son tour déterminant pour l'établissement du plan financier.
nels à la BCE. Toutefois, l'audit a montré qu'aucune corrélation n'était établie
(24) Les membres sont des cadres dirigeants provenant des directions entre l'évaluation annuelle des risques opérationnels et le cycle
générales Opérations de marché, Systèmes d'information, Adminis­ de planification stratégique et financière à la BCE. Dans ce
tration, RH, budget et organisation, et de deux entités organisation­ contexte, la gestion des risques opérationnels risque de
nelles jouant un rôle essentiel selon un roulement annuel, ainsi que devenir un exercice isolé, et il se peut que le plan financier
le conseiller du directeur de la direction générale RH, budget et ne prévoie pas une affectation des ressources de nature à
organisation.
(25) L'entité organisationnelle (le propriétaire du risque) responsable du
permettre la réalisation des objectifs stratégiques (26).
risque horizontal (un risque ayant une incidence sur plusieurs
entités organisationnelles) devrait recommander et/ou mettre en (26) D'après la conclusion de l'article «ERM at the Federal Reserve Bank of
œuvre des mesures de traitement du risque appropriées qui soient Richmond» (L'ERM à la Banque fédérale de réserve de Richmond),
applicables à l'ensemble de la BCE. 2007, Jack Dorminey et Richard Mohn.
16.6.2012 FR Journal officiel de l’Union européenne C 173/7

33. Un exemple de bonne pratique provient de la Banque du tionnels que dans les programmes de travail de trois des six
Canada, où le profil de risque de la banque fait partie intégrante entités organisationnelles composant l'échantillon; cependant,
du cycle global de planification stratégique et financière de la même dans ces cas-là, la description des activités en question
banque (27). était vague et il s'est avéré impossible de faire correspondre les
points d'action de l'exercice descendant de 2009 relatif à la
Processus de gestion des risques: identification du risque, évaluation et gestion des risques opérationnels avec les programmes de
réponses à apporter, établissement de rapports, contrôle et suivi travail des entités organisationnelles.
Identification du risque, évaluation et
réponses à apporter Gestion de la continuité des activités à la BCE

34. Il convient d'identifier et d'apprécier tous les risques opération­ 40. La gestion de la continuité des activités est une compo­
nels inhérents aux activités, aux processus et aux systèmes. Les risques sante importante de la gestion des risques opérationnels. Pour
devraient être évalués au regard de la politique et de la marge de pouvoir assurer la continuité des activités et des processus
tolérance en vigueur afin de déterminer les réponses adéquates à critiques en cas de crise, il importe d'établir des plans d'urgence
apporter en se fondant sur des calculs des coûts suffisants. Il et de rétablissement après sinistre pour les scénarios les plus
importe de communiquer régulièrement des informations pertinentes pessimistes.
aux cadres dirigeants et au directoire de façon à soutenir la gestion
proactive des risques opérationnels. 41. La Cour a examiné si:
35. La mise en œuvre du cadre de gestion des risques opéra­
tionnels reposait principalement sur des évaluations descen­ i) le cadre global de gestion de la continuité des activités est
dantes. En application de la politique de gestion des risques adéquat et conforme aux meilleures pratiques;
de la BCE, les entités organisationnelles devraient également
procéder en continu à des évaluations de leurs processus ii) les processus critiques ont été correctement mis en évidence;
selon une approche ascendante, et les risques mis au jour
devraient être soumis à approbation (28). iii) les différents plans de continuité des activités dont disposent
36. En 2008 et 2009, la BCE a réalisé des évaluations les entités organisationnelles sélectionnées permettent de
descendantes. La fonction ORM/BCM a communiqué aux lutter contre les risques de manière appropriée pour garantir
entités organisationnelles plusieurs risques élevés prédéfinis, la continuité des opérations critiques;
qui ont servi de base à leurs appréciations des risques. Pour
chacune des entités organisationnelles, un plan d'action a été iv) les dispositifs institués pour assurer la continuité des acti­
inclus dans le rapport final. Le Business Practice Handbook prévoit vités ont été correctement testés;
que les entités organisationnelles analysent et définissent des
stratégies de réponse aux risques, et qu'elles réalisent une v) le personnel a été sensibilisé et formé aux dispositifs régis­
analyse coûts-avantages des solutions possibles. sant la continuité des activités.
37. Les entités organisationnelles ont toutes identifié des
risques et des réponses à apporter lors de l'exercice d'évaluation Cadre de gestion de la continuité des activités
réalisé en 2009 sur la base d'une approche descendante. Le
rapport d'évaluation 2009 en résultant comprenait des points 42. La gestion de la continuité d'activité est une approche globale
d'action de suivi pour chaque entité organisationnelle. Toutefois, qui inclut la politique, les règles et les procédures pour s’assurer que des
il n'existait aucune documentation relative aux analyses coûts- opérations précises peuvent être poursuivies ou récupérées dans un laps
avantages au sein des entités organisationnelles faisant partie de de temps raisonnable dans le cas d'une perturbation. Son but est de
l'échantillon. réduire au minimum les conséquences opérationnelles, financières,
légales, de réputation et autres conséquences substantielles résultant
38. Dans certains cas, la procédure d'acceptation, qui suit d'une perturbation (29).
l'identification du risque par l'entité organisationnelle et relève
du comité du risque opérationnel/du directoire, s'est avérée
43. L'objectif de la gestion de la continuité des activités est
particulièrement lente. Par exemple, deux risques relevés en
de garantir que les dispositifs et les solutions en matière de
juillet-août 2009 n'avaient toujours pas été approuvés en
continuité des activités sont conformes aux objectifs, aux obli­
décembre 2010. En outre, il ressort de la liste des points d'ac­
gations et aux missions statutaires de la BCE, ainsi qu'à sa
tion en cours examinée lors des réunions du comité du risque
politique de tolérance des risques (30).
opérationnel que certains points sont restés ouverts pendant
plus d'un an, voire deux dans quelques cas.
44. L'audit a comporté un examen des principaux documents
39. Il n'a été possible de mettre en évidence les ressources constituant le cadre de gestion de la continuité des activités, à
spécialement allouées aux activités de gestion des risques opéra­ savoir:

(27) Source: site web de la Banque du Canada, «Plan à moyen terme — le chapitre 26 du Business Practice Handbook, qui définit un
2010-2012» ([Link] – 13 juillet 2011). cadre général, ainsi que les processus à mettre en place et les
(28) Pour certains projets, par exemple dans le domaine informatique, il résultats à atteindre, et détermine les rôles et les responsa­
existe des procédures spécifiques, telles qu'elles sont présentées dans
les procédures relatives à l'organisation et au contrôle des projets
bilités,
(Project Organisation and Control Procedures). Les informations sur les
risques relatifs aux projets sont communiquées séparément par l'in­ (29) «Principes directeurs en matière de continuité d'activité», Comité de
termédiaire du comité de pilotage de projet/comité de pilotage de Bâle sur le contrôle bancaire, août 2006, point 9.
projet des nouveaux locaux. La gestion des risques liés à des projets (30) «Business Practice Handbook» (BPH), 5e édition, BCE, 24 septembre
spécifiques a été exclue du champ du présent audit. 2010.
C 173/8 FR Journal officiel de l’Union européenne 16.6.2012

— la stratégie de la BCE concernant la formation et les tests en 50. La dernière mise à jour de l'analyse d'impact sur l'activité,
matière de continuité des activités, dont l'objectif était de combler les lacunes détectées en 2007, a
été achevée en 2010. Depuis la crise financière, il n'a été
— le programme des tests relatifs à la continuité des activités, procédé à aucune analyse d'impact complète sur l'activité.
Plans de continuité des activités
— le manuel de gestion des crises.
Opérations critiques
45. La BCE a élaboré un manuel de gestion des crises qui
définit les rôles, les responsabilités et les processus en cas de 51. Il conviendrait de concevoir les plans de continuité des activités
crise, et contient les coordonnées de l'équipe de gestion des de telle manière que les opérations critiques soient identifiées pour
crises. Chaque entité organisationnelle est pleinement respon­ garantir que la BCE puisse remplir ses obligations statutaires, telles
sable de l'établissement de son plan de continuité des activités. qu'elles sont définies dans le protocole correspondant sur les statuts de
Toutefois, le modèle directeur en la matière ne requiert pas de la BCE (33). Ces plans devraient être élaborés sur la base du «scénario
plan de continuité des activités à l'échelle de l'organisation et la le plus pessimiste» et en tenant compte du fait que les réponses à
BCE n'en a pas élaboré. apporter peuvent être allégées pour s'adapter à la réalité de la crise (34).

46. La BCE a mis en place un cadre solide, qui fournit des 52. La BCE a défini les principaux critères de référence
orientations sur les politiques, les processus et les responsabilités servant à déterminer la criticité pour un certain nombre de
en matière de gestion de la continuité des activités au sein de risques sur la base de ses obligations statutaires (voir encadré 3).
l'organisation. Toutefois, cette approche décentralisée induit
également le risque que, en l'absence d'une coordination rigou­ Encadré 3
reuse, la mise en œuvre de la gestion de la continuité des
activités dans l'organisation prise dans son ensemble manque Principaux critères de référence pour déterminer la
de cohérence. criticité

Identification des processus critiques Les obligations statutaires consistent notamment à:

47. L’analyse d'impact sur l’activité représente un processus dyna­
mique pour identifier les opérations et services critiques, les dépendances — définir et mettre en œuvre la politique monétaire pour la
clés, internes et externes, et les niveaux de résilience appropriés. Ce zone euro,
processus évalue les risques et les impacts potentiels de divers scénarios
de perturbation sur les opérations d'une organisation et sur sa répu­ — conduire les opérations de change,
tation (31).
— détenir et gérer les réserves officielles de change des pays
48. La dernière analyse d'impact complète sur l'activité de la zone euro,
remonte à 2006 (32) et visait à mettre en évidence les produits
et les services de la BCE indispensables à la continuité des — promouvoir le bon fonctionnement des systèmes de paie­
opérations principales de la Banque. L'analyse d'impact sur l'ac­ ment.
tivité était centrée sur les domaines clés suivants:
L'interruption de l'un des processus identifiés peut avoir les
— mise en évidence des processus d'entreprise critiques, conséquences suivantes:

— catégorisation des exigences essentielles, — instabilité du marché,

— orientations sur la manière de traiter les processus non — perte de crédibilité/d'image/de réputation,
récurrents ou peu fréquents,
— pertes financières pour la BCE,
— détermination des besoins supplémentaires en matière de
soutien. — pertes financières pour d'autres institutions,

49. Une mise à jour approfondie de l'analyse d'impact sur — problèmes juridiques éventuels,
l'activité réalisée en 2007 a révélé que la continuité des activités
et les dispositifs en vigueur à cette époque présentaient certaines — autres conséquences que celles énumérées ci-dessus.
lacunes. Une stratégie de suivi a été mise en place, proposant
différentes solutions pour combler les lacunes observées ou Source: Analyses d'impact sur l'activité de la BCE, Étude 2006.
accepter les risques et les coûts. Toutefois, même si les coûts
des solutions concernant l'informatique et l'infrastructure logis­
tique figuraient dans le document en question, ce dernier ne
comprenait aucune ventilation visant à montrer l'incidence, sur (33) L'article 3 du protocole (no 4) sur les statuts du Système européen
de banques centrales et de la Banque centrale européenne définit les
les coûts, des différents niveaux de risque. missions statutaires à exécuter par la BCE.
(34) Business Continuity Guideline: A Practical Approach for Emergency Prepa­
(31) «Principes directeurs en matière de continuité d'activité», Comité de redness, Crisis Management, and Disaster Recovery (Orientations en
Bâle sur le contrôle bancaire, août 2006, point 10. matière de continuité des activités: une approche pratique pour la
(32) «Analyses d'impact sur l'activité de la BCE», Étude 2006, direction préparation aux situations d'urgence, la gestion des crises et la
générale Ressources humaines, budget et organisation, 16 janvier récupération après un sinistre), ASIS international, 2005, point
2007. 11.3.
16.6.2012 FR Journal officiel de l’Union européenne C 173/9

53. Sur la base de l'examen par la Cour de ces principaux continuité des activités font l'objet d'une révision suffisante par
critères de référence et d'une évaluation préliminaire du degré la fonction ORM/BCM.
potentiel de poursuite des opérations dans le cadre des scénarios
établis (35), il a été estimé que les plans élaborés ont été conçus 57. Sur les cinq entités organisationnelles (41) sélectionnées
de manière à garantir que les obligations statutaires soient pour les tests approfondis, quatre ont présenté des plans de
remplies. Dans le cadre de son examen des plans de continuité continuité des activités conformes aux exigences en la matière,
des activités, la Cour a cependant constaté que les plans destinés dont trois traitaient de manière exhaustive les processus
à faire face, en cas de sinistre, à de lourdes pertes au niveau des critiques identifiés dans le cadre de l'analyse d'impact sur l'acti­
ressources humaines (36) faisaient défaut. Bien que les entités vité.
organisationnelles responsables des processus aient désigné les
personnes compétentes en matière de continuité des activités, 58. Dans la plupart des cas, il n'existait aucune documenta­
ainsi que leurs remplaçants, aucune d'entre elles ne disposait tion relative aux analyses coûts-avantages des diverses solutions
d'un «plan de secours» pour les cas d'indisponibilité du possibles en matière de continuité des activités au sein des
personnel à grande échelle. entités organisationnelles faisant partie de l'échantillon, ni
aucune évaluation des différents niveaux de risques.
Respect du modèle directeur concernant le
plan de continuité des activités Réalisation de tests
54. Conformément au modèle directeur du plan de continuité des 59. Les organisations devraient, de manière appropriée, tester leurs
activités, les plans des différentes entités organisationnelles devraient plans de continuité d’activité, évaluer leur efficacité et mettre à jour leur
couvrir: gestion de la continuité d’activité (42). En vertu de la norme BS
— les aspects organisationnels (37), 25999 (43), l'organisation doit veiller à ce que les dispositifs de
gestion de la continuité des activités soient validés par le biais de
— les processus critiques (38), tests et de révisions, et qu'ils soient maintenus à jour.

— les ressources (39), 60. Les documents suivants ont été examinés:
— la liste des parties prenantes.
— la stratégie appliquée pour les tests de la continuité des
Une organisation comparera l’avantage direct de mesures prises pour activités (44),
améliorer sa résilience aux perturbations opérationnelles avec le coût de
ces mesures (40). — les programmes et les calendriers des tests pour la période
2008-2010,
55. D'une manière générale, le modèle directeur du plan de
continuité des activités de la BCE définit la structure et le — les rapports des tests.
contenu que les plans de continuité des activités des différentes
entités organisationnelles doivent obligatoirement présenter. En 61. La stratégie en matière de tests est centrée sur les plans
tant que tel, ce modèle ne comporte qu'un canevas des docu­ de continuité des activités et les plans de récupération des
ments relatifs au plan de continuité des activités que les entités systèmes d'information qui ont été établis pour permettre la
doivent présenter. révision des processus critiques conformément à l'analyse d'im­
pact sur l'activité. Le cadre de tests inclut une répartition claire
56. Les plans de continuité des activités sont élaborés au des responsabilités, la définition de l'étendue des tests et de leur
niveau de l'entité organisationnelle, du département ou de la fréquence, les exigences en matière de communication des infor­
division. Si, d'une manière générale, le modèle directeur du mations, ainsi qu'un programme pertinent pour les tests à
plan de continuité des activités a bien été respecté pour ce moyen terme. L'examen a montré que le cadre de tests mis
qui est du contenu, de grandes différences apparaissent néan­ en place est adéquat et conforme aux exigences de la norme
moins en ce qui concerne le degré de détails. Bien que la BS 25999.
fonction ORM/BCM joue un rôle de coordination centrale, la
qualité des différents plans de continuité des activités dépend de 62. Les tests effectués ont révélé que les exercices de simu­
la personne responsable au niveau de l'entité organisationnelle. lation, bien qu'ils couvrent le personnel clé et soient réalisés
Il n'existe aucun élément attestant que les différents plans de régulièrement, ne reproduisent pas toujours les situations
auxquelles la BCE serait confrontée en cas de perturbation
(35) Sur la base de six scénarios de catastrophe, l'analyse d'impact sur majeure de ses activités. Les tests prévus en 2009 et 2010
l'activité permet d'examiner l'incidence de ceux-ci sur la capacité n'ont pas couvert tous les scénarios élaborés par la BCE, et
opérationnelle de chacune des entités organisationnelles. les tests programmés initialement n'ont pas toujours été tous
(36) Requis par les principes directeurs en matière de continuité d'acti­
vité, Comité de Bâle sur le contrôle bancaire, août 2006, point 23.
exécutés.
(37) À savoir, les organes de décision en cas de crise, la composition de
l'équipe responsable de la continuité des activités, les relations avec (41) La DG-IS dispose d'un processus de continuité des activités distinct.
les autres équipes et l'emplacement de l'équipe responsable de la Il est soumis à un audit externe visant à vérifier sa conformité à la
continuité des activités. norme ISO 20000; c'est la raison pour laquelle la DG-IS a été
(38) À savoir, les processus qui ont été mis en évidence et approuvés exclue du champ de l'audit réalisé par la Cour en 2010.
dans le cadre de l'analyse d'impact sur l'activité, assortis d'une liste (42) «Principes directeurs en matière de continuité d'activité», Comité de
des tâches présentant en détail les différentes activités indispensables Bâle sur le contrôle bancaire, août 2006, principe 6.
à la continuité des processus critiques en question. (43) Norme britannique du code de bonne pratique en matière de
(39) À savoir, le matériel informatique et de bureau, ainsi que les gestion de la continuité des activités.
manuels. (44) «ECB Business Continuity Testing and Training Strategy» (Stratégie de la
(40) «Principes directeurs en matière de continuité d'activité», Comité de BCE en matière de tests de continuité des activités et de formation),
Bâle sur le contrôle bancaire, août 2006, point 13. comité du risque opérationnel, 4 mars 2008.
C 173/10 FR Journal officiel de l’Union européenne 16.6.2012

Formation et sensibilisation La BCE a-t-elle géré efficacement les risques financiers

auxquels elle est exposée?
63. Il convient de sensibiliser les équipes chargées de la gestion des
crises et des réponses à apporter à leurs responsabilités et à leurs tâches. 67. La gestion des risques financiers est un processus visant à
Une formation devrait être dispensée à ces équipes au moins une fois prendre en considération les incertitudes résultant des marchés
par an, ainsi qu'aux nouveaux membres, dès leur entrée en fonction. Il financiers. Elle inclut l'évaluation des risques financiers auxquels
importe de former tous les membres du personnel à l'exercice de leurs est exposée une organisation, ainsi que l'élaboration de straté­
propres responsabilités en cas de crise. En outre, ils devraient être gies de gestion cohérentes avec les priorités et les politiques
informés des principaux éléments du plan de continuité des activi­ internes.
tés (45).
68. La Cour a examiné si:

64. La stratégie adoptée par la BCE en matière de formation — le cadre global de gestion des risques financiers pour les
prévoit que l'ensemble du personnel doit pouvoir bénéficier du opérations de placement et autres activités bancaires est
programme de sensibilisation à la gestion de continuité des adéquat et conforme aux meilleures pratiques,
activités (46). En ce qui concerne les tests, la stratégie de forma­
tion prévoit l'établissement d'un programme de formation, qui — la méthodologie relative aux risques financiers adoptée par
précise les détails de la mise en œuvre. la BCE permet la gestion adéquate de ceux-ci,

— la BCE applique efficacement cette méthodologie,

65. En 2010, dans le cadre des programmes de formation en
matière de gestion des risques, cinq demi-journées de formation — la communication d'informations sur la gestion des risques
ont été organisées pour permettre la «découverte» du manuel de financiers est régulière et fiable.
gestion de crises adopté par la BCE. Si, d'une manière générale,
l'introduction au manuel et la séance de formation ont reçu une Cadre de gestion des risques financiers pour les opérations
évaluation positive des participants, ceux-ci n'ont toutefois pas de placement et autres activités bancaires
manqué de souligner que des tests de simulation seraient haute­
ment appréciés. 69. Le cadre devrait donner une définition du risque financier à
l'échelle de l'entreprise et établir les principes régissant la manière dont
les risques financiers doivent être identifiés, évalués, suivis et contrôlés/
atténués (49). La banque doit disposer d'un système de gestion des
66. Si l'audit a permis de relever des éléments attestant risques financiers au sein duquel les responsabilités sont clairement
qu'une formation était manifestement dispensée au personnel réparties.
responsable en matière de continuité des activités, notamment
par le biais de tests relatifs aux plans de continuité des activités, 70. Le cadre de gestion des risques financiers de la BCE a été
aucun élément n'attestait que les autres membres du personnel conçu de sorte à couvrir les risques afférents à deux types
aient été sensibilisés, de manière active, au cadre et aux d'opérations de la BCE: i) les placements et ii) les crédits. Les
processus de continuité des activités. Or, plusieurs documents opérations de placement se rapportent à deux portefeuilles, à
de référence internes (47) confirment que, même si les tests savoir celui des réserves de change (50) (60 600 millions d'euros
jouent un rôle essentiel dans le cadre de la formation du au 31 décembre 2010) et celui des fonds propres (51)
personnel, il importe d'informer l'ensemble du personnel au (13 300 millions d'euros au 31 décembre 2010). Les opérations
moyen d'un programme de sensibilisation. Aucun programme de crédit, quant à elles, sont liées aux opérations de politique
de ce type n'a encore été élaboré, la fonction ORM/BCM monétaire (52). Dans le cadre de ses activités de placement, la
centrale estimant que le degré de sensibilisation du personnel BCE assure la gestion de ses réserves de change (53), de son
aux systèmes de continuité des activités est satisfaisant. Toute­ portefeuille de fonds propres et du fonds de pension, et
fois, une enquête interne (48) révèle que plus de 12 % (20 % en exerce des activités relatives aux deux portefeuilles détenus à
2009) des répondants n'ont pas connaissance des dispositifs de des fins de politique monétaire (54).
continuité des activités de leur entité organisationnelle et ne
seraient pas en mesure de trouver les informations sur la
(49) Bâle, ERM COSO (référentiel Enterprise Risk Management – Committee
manière de réagir en cas de crise. of Sponsoring Organizations).
(50) Orientation de la Banque centrale européenne du 20 juin 2008
(45) Business Continuity Guideline: A Practical Approach for Emergency Prepa­ concernant la gestion des avoirs de réserve de change de la
redness, Crisis Management, and Disaster Recovery (Orientations en Banque centrale européenne par les banques centrales nationales
matière de continuité des activités: une approche pratique pour la et la documentation juridique requise pour les opérations portant
préparation aux situations d'urgence, la gestion des crises et la sur ces avoirs (refonte) (BCE/2008/5) (2008/596/CE).
récupération après un sinistre); ASIS international; 2005; point (51) «OFM Guideline» (Orientation relative à la gestion des fonds
12.1.1. propres), juillet 2010; «The ECB’s Own Funds Investment Guidelines»
(46) «ECB Business Continuity Testing and Training Strategy» (Stratégie de la (Orientations relatives au placement de fonds propres de la BCE),
BCE en matière de tests de continuité des activités et de formation), septembre 2010.
comité du risque opérationnel, 4 mars 2008. (52) Orientation de la Banque centrale européenne du 26 septembre
(47) «Business continuity testing and training strategy» (Stratégie en matière 2002 relative aux normes minimales applicables à la Banque
de tests de continuité des activités et de formation), p. 15; «Business centrale européenne et aux banques centrales nationales lors de la
Practice Handbook», point 26.1; «Business Continuity Framework» (Cadre conduite des opérations de politique monétaire et des opérations de
de continuité des activités – intranet de la BCE); document intitulé change effectuées avec les réserves de change de la BCE et lors de la
«Business Continuity Management Policy» (Politique en matière de gestion des avoirs de réserve de change de la BCE (BCE/2002/6).
gestion de la continuité des activités). (53) Y compris les réserves d'or.
(48) Rapport fondé sur l'enquête interne de satisfaction du client de la (54) L'un est destiné au programme d'achat d'obligations sécurisées et
BCE réalisée en 2010 et 2009. l'autre au programme pour les marchés de titres.
16.6.2012 FR Journal officiel de l’Union européenne C 173/11

71. La division RMA est chargée d'assurer le fonctionnement 77. Le processus de placement des réserves de change repose
du cadre global de gestion des risques pour les opérations de sur une structure à trois niveaux, en l'occurrence la référence
placement, ainsi que pour le suivi, l'évaluation et le contrôle des stratégique, la référence tactique et les portefeuilles réels. La
risques inhérents à ces opérations. Elle surveille le respect des référence stratégique, qui reflète les préférences en matière de
politiques et des processus convenus en matière de gestion des risque-rendement à long terme, relève de la décision du conseil
risques de crédit et de marché. Les cas de non-respect sont des gouverneurs.
communiqués conformément aux procédures d'intervention
par paliers convenues. 78. S'agissant du processus de placement des fonds propres,
il s'articule autour d'une structure à deux niveaux, à savoir la
72. La DG-M est l'entité organisationnelle responsable de référence stratégique et le portefeuille réel. La référence straté­
l'exécution des opérations de placement à la BCE. En outre, gique relève de la décision du directoire.
elle est chargée de la maintenance et de la poursuite du déve­
loppement de l'application destinée à la gestion des portefeuilles 79. Les rendements sont maximisés en tenant compte de la
de l'Eurosystème (55). La division Placements de la DG-M est contrainte de ne pas essuyer de perte et d'allouer les actifs; ils
responsable de l'élaboration des propositions du comité d'inves­ sont mis en œuvre par le biais d'une allocation stratégique
tissement concernant la référence tactique pour les portefeuilles spécifique des actifs (58).
de réserves de change et la gestion directe du portefeuille de
fonds propres de la BCE.
80. Les listes des pays, des émetteurs et des contreparties
éligibles sont gérées par la division RMA. Celle-ci définit les
73. Le Handbook of Financial Risk Management (56), document limites pour les contreparties sur la base de la méthodologie
clé en matière de gestion des risques financiers des activités de approuvée par le directoire. S'agissant de la gestion des réserves
placement, présente une vue d'ensemble complète des poli­ de change, les limites fixées pour les banques centrales natio­
tiques, des procédures et des processus pertinents, notamment nales sont établies conformément à la méthodologie approuvée
en faisant référence aux documents adoptés par l'organe de par le conseil des gouverneurs. Une fois par an, toutes les
décision de la BCE. limites sont systématiquement actualisées. En outre, l'incidence
des changements de notation sur l'éligibilité et les limites est
74. Le cadre global et celui de gestion des risques financiers immédiatement prise en considération.
mis en place par la BCE aux fins de gestion des opérations de
placement et autres activités bancaires donnent une définition 81. L'allocation stratégique des actifs tient compte d'impéra­
du risque financier à l'échelle de la banque, et établissent les tifs politiques stricts, à savoir:
principes régissant la manière dont les risques financiers doivent
être identifiés, évalués, suivis et maîtrisés/atténués.
i) les objectifs de constitution des réserves;
Méthodologie de gestion des risques financiers
ii) les préférences en matière de risque-rendement;
75. Il convient d'élaborer des orientations adéquates en matière de
placement permettant de déterminer l'appétence pour le risque de façon iii) l'approche de modélisation;
satisfaisante et fournissant des indications détaillées pour les opérations
de placement. iv) l'horizon d'investissement et la fréquence de révision;

76. Le Handbook of Financial Risk Management de la BCE v) la répartition des responsabilités entre le niveau de la réfé­
définit les éléments suivants: rence stratégique et celui de la référence tactique dans la
chaîne d'investissement;
i) la tolérance au risque de la BCE;
vi) le contenu de l'information alimentant les décisions de
ii) les instruments et les opérations approuvés; placement;

iii) les contreparties et les émetteurs éligibles – fixation des vii) les placements éligibles;
limites;
viii) les contraintes imposées en matière de placement.
iv) l'allocation stratégique des actifs;
Les horizons de risque et d'investissement sont déterminés sur
v) l'établissement de rapports et d'évaluations sur le suivi; une base annuelle pour les réserves de change et quinquennale
pour les fonds propres.
vi) la révision du cadre (57).
82. L'audit de la Cour a comporté un examen:
(55) Application utilisée pour la gestion des réserves de change de la
BCE et de ses fonds propres, ainsi que pour la production des — du caractère exhaustif et adéquat de la définition de l'appé­
chiffres relatifs à la performance.
(56) «Handbook of Financial Risk Management, Policies and procedures»
tence pour le risque et de la stratégie en matière de risque,
(Manuel sur les principes généraux et les procédures en matière
de gestion du risque financier), mars 2008. (58) Les décisions sont prises par le conseil des gouverneurs pour les
(57) Révision des points i) à v), régulièrement ou au moins une fois par réserves de change et par le directoire pour les fonds propres, sur la
an, par le directoire ou le conseil des gouverneurs. base des propositions formulées par la division RMA.
C 173/12 FR Journal officiel de l’Union européenne 16.6.2012

— des orientations en matière de placement, c) les hypothèses des modèles n'étaient pas toujours suffisam­
ment documentées.
— du processus de décision concernant les limites de place­
ment, 88. Un examen des meilleures pratiques utilisées dans d'au­
tres organisations internationales similaires a montré que, à la
— des différentes mesures prises pour atténuer les risques et de suite de la crise financière aux États-Unis, la Banque fédérale de
leur cohérence: risque de marché, risque de crédit, risque de réserve de New York a mis en place une équipe chargée de la
contrepartie, risque de liquidité et risque opérationnel des validation des modèles dans le cadre du renforcement des capa­
activités de placement. cités en matière de gestion des risques financiers. L'encadré 4
présente les tâches principales de cette équipe.
83. L'examen du cadre de gestion prises pour atténuer les
risques financiers montre que la méthodologie appliquée permet
de déterminer l'appétence pour le risque de manière satisfaisante Encadré 4
et donne des orientations complètes en ce qui concerne les
Équipe chargée de la validation des modèles à la Banque
opérations de placement à la BCE.
fédérale de réserve de New York
Application de la méthodologie de gestion des risques
financiers Les tâches principales de l'équipe consistent à:
84. La méthodologie de gestion des risques financiers, telle qu'elle — recenser tous les modèles utilisés dans le cadre de la
est décrite à la section précédente, devrait être appliquée efficacement gestion des risques financiers,
dans la pratique.
— examiner et valider la documentation relative au modèle,
85. L'audit de la Cour a comporté:
— élaborer une documentation détaillée lorsque les docu­
ments fournis sont jugés insuffisants,
i) un examen du caractère adéquat des références par rapport
au profil de risque du portefeuille, y compris les mesures de — réaliser des tests des modèles.
détection des erreurs, la qualité et la gestion des données,
ainsi que la sécurité des données relatives aux références
stratégiques et tactiques;
Caractère adéquat de la communication d'informations sur
les risques financiers
ii) un examen des outils et du système sous-tendant le calcul et
la mise à jour des portefeuilles et des références; 89. Il devrait exister un processus visant à assurer un suivi régulier
des profils de risque et des dangers de pertes importants. Un système
iii) un examen portant sur la gestion de la modification des d'information et de suivi fiable devrait être mis en place.
références.
90. La division RMA veille au respect des politiques et
86. S'agissant du cadre relatif à la VaR, les aspects suivants processus convenus en matière de gestion des risques de
ont été examinés: marché et de crédit; elle est également responsable de la noti­
fication des cas de non-respect conformément aux procédures
i) les analyses de la qualité des données et de la gestion des d'intervention par paliers prévues. La division RMA de la BCE
données, ainsi que l'examen des données de sécurité et de communique régulièrement des informations sur le risque-
contrôle; rendement et les performances des portefeuilles de réserves de
change et de fonds propres de la BCE, ainsi que sur les réfé­
ii) les analyses de la technique de modélisation, ainsi que les rences stratégiques et tactiques correspondantes. Les rapports
hypothèses des modèles et les principales composantes de la sont établis sur une base quotidienne, hebdomadaire, mensuelle,
modélisation; trimestrielle et annuelle.

iii) les tests visant à en vérifier le caractère raisonnable, l'examen 91. Les tests et les entretiens réalisés par les auditeurs ont
des résultats de contrôles ex post et les analyses des confirmé que les rapports sur les performances sont établis
rapports. régulièrement et transmis à la direction en temps utile. Toute­
fois, il a été constaté que les normes GIPS (59), considérées
87. Les tests ont montré que la méthodologie a été mise en comme meilleures pratiques, ne sont pas pleinement respectées
œuvre de manière adéquate. Toutefois, aucun document n'at­ dans le cadre de l'établissement de rapports internes de la BCE
teste que le «principe du double regard» a été appliqué. En outre, sur les performances.
l'examen des modèles utilisés pour calculer les références stra­
tégiques et tactiques ainsi que pour établir la VaR, y compris la (59) Les normes GIPS (Global Investment Performance Standards –
validation du modèle, a permis de constater que, dans certains normes internationales de présentation des performances), créées
cas: et administrées par le CFA Institute (Chartered Financial Analyst
Institute) constituent un ensemble de principes éthiques normalisés
a) les modèles ne faisaient pas l'objet de contrôles ex post et appliqués au secteur de la gestion d'actifs, qui fournissent des
orientations sur la manière de calculer et de communiquer les
réguliers et documentés ces derniers temps; résultats en matière d'investissement. L'adhésion à ces normes,
basées sur les principes fondamentaux de totale transparence et
b) les modèles appliqués n'avaient fait l'objet d'aucune valida­ de présentation honnête des résultats de la performance des inves­
tion indépendante, ni d'aucune mise à jour récente; tissements, est volontaire.
16.6.2012 FR Journal officiel de l’Union européenne C 173/13

CONCLUSIONS ET RECOMMANDATIONS 97. La BCE a élaboré un manuel de gestion des crises

complet, qui définit les rôles, les responsabilités et les processus
La BCE a-t-elle mis en place un cadre de gouvernance appro­ en cas de crise, et contient les coordonnées de l'équipe de
prié et complet pour la gestion des risques? gestion des crises. Chaque entité organisationnelle est pleine­
ment responsable de l'établissement de son plan de continuité
92. La BCE a mis en place une structure organisationnelle des activités.
complète, avec des rôles et des responsabilités clairement répar­
tis. Toutefois, il existe une séparation marquée entre la gestion 98. La BCE a mis en place un cadre solide, qui fournit des
des risques financiers et celle des risques opérationnels au sein orientations sur les politiques, les processus et les responsabilités
de la Banque, ce qui augmente la probabilité de ne pas disposer en matière de gestion de la continuité des activités au sein de
d'une vue d'ensemble complète des risques auxquels elle est l'organisation. Toutefois:
exposée. Aucune autorité indépendante et unique, tel un respon­
sable ou un comité des risques, n'a été instituée pour faire le a) même si une mise à jour approfondie de l'analyse d'impact
lien entre le directoire et la fonction/les unités chargées de la sur l'activité a été réalisée en 2007 et achevée en 2010,
gestion des risques, à savoir la fonction ORM/BCM et les unités aucune analyse d'impact complète sur l'activité n'a été effec­
relevant de la division RMA. tuée depuis le début de la crise financière;

93. Les comptes annuels de la BCE abordent brièvement b) un plan pour faire face à de lourdes pertes au niveau des
certaines questions de gestion des risques, mais ne présentent ressources humaines fait défaut;
pas une vue d'ensemble du processus de gestion des risques au
sein de l'organisation, ni les risques encourus, ni l'approche c) les tests prévus ne couvraient pas entièrement tous les scéna­
adoptée par l'encadrement pour y faire face. rios de catastrophe envisagés par la BCE;

d) certains tests programmés pour 2009 et 2010 n'ont pas été

Recommandations réalisés.

1. La BCE devrait envisager de mettre en place une fonction Recommandations

de gestion des risques unique et indépendante d'un point
de vue hiérarchique, tel un responsable ou un comité des 3. L'évaluation annuelle des risques opérationnels devrait
risques, qui se concentrerait exclusivement sur la gestion faire partie intégrante du cycle de planification stratégique
des risques et garantirait une vision globale des risques et financière de la BCE, ainsi que des programmes de
auxquels est exposée la Banque. travail annuels des différentes entités organisationnelles.

2. Dans le cadre de ses comptes annuels, la BCE devrait

encore améliorer la communication d'informations aux 4. Les mesures concernant les risques opérationnels de
tierces parties concernant ses pratiques en matière de niveau élevé devraient être rapidement adoptées.
gestion des risques, et ce en se conformant aux meilleures
pratiques, par exemple la norme IFRS 7.
5. La BCE devrait continuer de renforcer ses plans de conti­
nuité des activités et le programme de tests en la matière,
et s'efforcer de faire en sorte que tous les tests prévus
soient réalisés.
La BCE a-t-elle géré efficacement les risques opérationnels
auxquels elle est exposée?

94. La BCE dispose d'une structure organisationnelle claire;

elle a établi des politiques adéquates en matière de gestion des
La BCE a-t-elle géré efficacement les risques financiers
risques opérationnels qui définissent l'approche adoptée par la
auxquels elle est exposée?
Banque en matière d'évaluation, de suivi et de maîtrise/d'atté­
nuation des risques. 99. Le cadre global et celui de gestion des risques financiers
mis en place par la BCE aux fins de gestion des opérations de
95. Si des évaluations descendantes ont été réalisées en 2008 placement et autres activités bancaires sont adéquats. L'examen
et 2009 et des plans d'action définis pour chacune des entités du cadre de gestion des risques financiers a montré que la
organisationnelles, les analyses coûts-avantages n'ont toutefois méthodologie adoptée en la matière est solide et adaptée à la
pas été documentées. gestion des opérations de placement et autres activités bancaires
à la BCE. Toutefois, l'application pratique de cette méthodologie
96. Un système d'établissement de rapports, de contrôle et doit être améliorée, par exemple en ce qui concerne les modèles
de suivi a été mis en place et un calendrier a été convenu afin utilisés pour le calcul des références stratégiques et tactiques,
d'assurer le suivi des mesures prises en matière d'atténuation des ainsi que pour le calcul de la VaR.
risques pour les risques de niveau moyen ou élevé. S'agissant de
certains risques, la procédure d'acceptation par le comité du 100. Les rapports internes relatifs à la gestion des risques
risque opérationnel/le directoire a cependant nécessité vraiment fournissent aux cadres dirigeants et au directoire de la BCE
beaucoup de temps. Aucune corrélation n'est établie entre les des informations précises, adéquates et complètes sur la
cycles de planification et de gestion des risques opérationnels. gestion des risques financiers. Les rapports sur les performances
En outre, les activités liées à la gestion des risques opérationnels sont établis régulièrement et en temps opportun; en revanche,
n'apparaissaient pas clairement dans les programmes de travail ils ne sont pas mis à jour de façon régulière de sorte à tenir
de certaines entités organisationnelles contrôlées. compte des modifications apportées aux normes GIPS.
C 173/14 FR Journal officiel de l’Union européenne 16.6.2012

Recommandations

6. La BCE devrait continuer à améliorer l'examen et la validation des modèles utilisés pour le calcul des
références stratégiques et tactiques, ainsi que pour le calcul de la VaR; elle devrait notamment s'efforcer
de rassembler une documentation détaillée lorsque les documents sont jugés insuffisants, réaliser des
tests des modèles, ainsi qu'assurer une révision régulière des hypothèses de modèles.

7. Les changements apportés aux normes GIPS devraient être examinés sur une base annuelle et il
faudrait envisager d'en tenir pleinement compte lors de l'établissement des rapports internes de la
BCE sur les performances.

Le présent rapport a été adopté par la Chambre IV, présidée par M. Louis GALEA, membre de
la Cour des comptes, à Luxembourg en sa réunion du 27 mars 2012.

Par la Cour des comptes

Vítor Manuel da SILVA CALDEIRA
Président
16.6.2012 FR Journal officiel de l’Union européenne C 173/15

RÉPONSES DE LA BANQUE CENTRALE EUROPÉENNE

La Banque centrale européenne (BCE) accueille favorablement le rapport de la Cour des comptes européenne
pour l’exercice 2010 ainsi que les observations et recommandations de la Cour en vue d’améliorations. La
BCE note en outre que la Cour reconnaît: a) qu’elle présente une structure organisationnelle clairement
définie et a mis en place des politiques adéquates de gestion des risques opérationnels; et b) que le cadre
global de gestion des risques financiers tel qu’il a été établi par la BCE pour les opérations de placement et
autres activités bancaires est approprié.

La BCE prend note des observations et recommandations de la Cour en vue d’améliorations. Les commen­
taires de la BCE au sujet de certains paragraphes et des sept recommandations sont détaillés ci-après.

Paragraphes 9 à 13 et 92
S’agissant de la description de la Cour du cadre global de gestion des risques de la BCE, quelques précisions
peuvent être apportées.

Le cadre de gestion des risques opérationnels, qui couvre la mesure et le suivi de ces risques par la BCE,
incombe à la fonction responsable de la gestion des risques opérationnels et de la continuité opérationnelle
(Operational Risk Management & Business Continuity Management, ORM/BCM), rattachée à la direction générale
des Ressources humaines, du budget et de l’organisation. Tant le cadre de gestion des risques financiers liés
aux opérations de marché que la mesure et le suivi des expositions aux risques découlant de ces opérations
sont de la responsabilité du service de la gestion des risques. Ce type de dispositif organisationnel est
répandu dans les banques centrales et les organisations apparentées. En tout état de cause, la coexistence
d’une fonction et d’un service spécifiques ne doit pas être interprétée comme un cloisonnement entre la
gestion des risques financiers et des risques opérationnels, mais comme un choix organisationnel visant à
assurer une répartition efficiente des tâches incombant collégialement au directoire en matière de gestion
globale des risques à la BCE.

Étant donné les évolutions survenues depuis l’audit de la Cour, la BCE souhaite apporter les informations
suivantes:

— dans le domaine des risques opérationnels, le comité du risque opérationnel, dont le rôle est de favoriser
et de surveiller le développement, la mise en œuvre et la maintenance de la fonction ORM, est désormais
présidé par le vice-président de la BCE,

— en ce qui concerne les risques financiers, la BCE a réorganisé en juillet 2011 sa division Gestion des
risques en un service de la gestion des risques, qui fonctionne de façon autonome et fait rapport au
directoire par l’intermédiaire d’un de ses membres qui n’est pas en charge de la direction générale
Opérations de marché. Ce changement a résulté: i) du rôle accru de la gestion des risques financiers
au sein des banques centrales en général et de la BCE en particulier; et ii) des recommandations faites par
le conseil des gouverneurs à toutes les banques centrales de l’Eurosystème afin que les membres de leurs
instances de décision utilisent des dispositifs de reporting différents selon qu’ils ont la responsabilité des
opérations de marché ou celle de la gestion des risques financiers.

Voir aussi la réponse à la recommandation 1.

Paragraphes 16, 17 et 93
Des informations relatives à la gestion des risques figurent dans plusieurs chapitres du rapport annuel et
dans les comptes annuels de la BCE. Les comptes annuels sont établis conformément aux règles et méthodes
comptables que le conseil des gouverneurs de la BCE estime appropriées pour les activités de banque
centrale. Ces principes sont appliqués systématiquement par toutes les banques centrales de l’Eurosystème
aux opérations qu’elles conduisent. Ils sont considérés à l’échelle internationale comme des normes d’infor­
mation financière adaptées aux banques centrales.

Les obligations juridiques de la BCE en termes d’information financière sont définies dans la décision de la
BCE concernant ses comptes annuels (décision BCE/2010/21). La BCE suit les principes de valorisation fixés
par les normes internationales d’information financière (International Financial Reporting Standards, IFRS), telles
qu’elles ont été adoptées par l’Union européenne, lorsqu'aucun traitement comptable spécifique n’est prévu
dans la décision BCE/2010/21 et en l’absence d’une décision contraire prise par le conseil des gouverneurs.
De plus, en vertu de la décision susmentionnée, la BCE prépare ses comptes annuels en fonction du niveau
de diffusion des informations décidé par le conseil des gouverneurs et n’est pas tenue de se conformer aux
obligations stipulées par la norme IFRS 7 en matière d’informations à fournir.

Voir aussi la réponse à la recommandation 2.

C 173/16 FR Journal officiel de l’Union européenne 16.6.2012

Paragraphe 24
La BCE souhaite préciser qu’elle fournit aux coordinateurs et gestionnaires de risques, via les pages intranet
qu’elle consacre à l’ORM, toutes les informations pertinentes, y compris concernant la classification des
événements et de leurs causes profondes. Par ailleurs, lors du lancement de chacune des mises à jour de
l’évaluation des risques opérationnels – effectuées une fois par an à l’échelle de la banque –, des orientations
complémentaires ayant trait à l’identification des risques sont données aux entités organisationnelles.

Paragraphe 28
Le nombre des membres du personnel de la fonction ORM/BCM employés à titre permanent a été récem­
ment porté à cinq. Du point de vue de la BCE, la composition actuelle de cette équipe tire avantage du
détachement de personnel des banques centrales nationales et n’augmente pas le risque d’une mise en œuvre
inappropriée du cadre de gestion des risques opérationnels.

Paragraphes 29 et 66
Afin de renforcer le degré de sensibilisation au cadre ORM et aux dispositifs de continuité opérationnelle, la
BCE améliorera la présentation des informations sur les pages intranet correspondantes et invitera les
responsables des équipes concernées à organiser des présentations de façon régulière dans les différentes
entités organisationnelles.

Paragraphes 37, 58 et 95
Il convient, au titre des principes de la gestion des risques opérationnels, de conduire une analyse coûts-
avantages dès la définition des stratégies à suivre face aux risques potentiels, afin de s’assurer que ces
stratégies sont efficaces en termes de coûts. Or, une telle analyse ne devient essentielle qu’à partir du
moment où une mesure est prise face à un risque concret. Ainsi, une analyse coûts-avantages est toujours
requise lorsqu’un projet est engagé à la BCE.

Paragraphes 50 et 98 a)
La BCE met à jour son analyse d’impact sur l’activité quand cela est nécessaire et non à intervalles réguliers,
le but étant de répondre en temps utile aux nouvelles exigences en matière de continuité opérationnelle
(changements systémiques ou organisationnels, nouveaux processus ou nouvelles applications, etc.). Cela
étant, après la remise au directoire, en 2007, d’une analyse d’impact complète sur l’activité, des exigences de
continuité opérationnelle ont été intégrées à plusieurs occasions au cadre de gestion de la continuité
opérationnelle.

Paragraphes 53 et 98 b)
La BCE estime que le plan « pandémique » complet qu’elle a élaboré est suffisant pour faire face à de lourdes
pertes de ressources humaines. En outre, elle a pris des dispositions de secours pour assurer la poursuite de
ses processus les plus essentiels dans le cas extrêmement improbable d’une indisponibilité totale du person­
nel.

Paragraphes 62 et 98 c) et d)
Du fait de la crise financière, la disponibilité de fonctions clés de la BCE est requise presque tous les week-
ends, ce qui limite inévitablement l’étendue et la fréquence des tests de continuité opérationnelle globaux.
Dès lors, tandis que des tests portant sur des scénarios concrets sont menés de manière régulière par l’équipe
de gestion des crises, une approche plus prudente a été adoptée concernant les tests d’ensemble relatifs aux
plans de continuité opérationnelle et aux installations informatiques de secours de la BCE, afin de réduire le
risque d’interruption des opérations en cours.

Voir aussi la réponse à la recommandation 5.

Paragraphes 91 et 100
La BCE n’a pas adopté l’intégralité du cadre des normes internationales de présentation des performances
(Global Investment Performance Standards, GIPS), car il n’est pas entièrement applicable à ses activités de
banque centrale.

Voir aussi la réponse à la recommandation 7.

Recommandation 1
La BCE examine et accueille toujours favorablement les recommandations allant dans le sens d’une amélio­
ration de sa gestion des risques et d’une application de pratiques performantes de banque centrale. La
structure organisationnelle en place actuellement pour la gestion des risques fournit un cadre efficient à
la répartition des tâches incombant collégialement au directoire en termes de gestion des risques globaux de
la Banque.
16.6.2012 FR Journal officiel de l’Union européenne C 173/17

Recommandation 2
En termes d’information financière, la BCE respecte déjà les obligations juridiques fixées dans la décision
BCE/2010/21. Elle suit et continuera de suivre les évolutions des normes IFRS, en particulier sous l’angle de
leur adéquation avec son information financière.
Recommandation 3
La BCE accepte cette recommandation. Tandis que ses différentes entités organisationnelles ont toujours
intégré à leurs programmes de travail et leurs projets de budget annuels des actions et des coûts relatifs à la
mise en œuvre de mesures de réduction des risques, elle a récemment modifié le calendrier des processus
correspondants afin que la mise à jour annuelle de l’évaluation des risques opérationnels soit entièrement
synchronisée avec les cycles de planification stratégique et financière.
Recommandation 4
La BCE accepte cette recommandation.
Recommandation 5
La BCE accepte cette recommandation. Elle s’engage pleinement à poursuivre le renforcement de ses plans
de continuité opérationnelle et s’efforcera d’assurer la réalisation des programmes de test de tous les
processus et objectifs concernés en temps utile. En revanche, elle mettra en balance l’urgence de mener
les tests prévus et l’exigence de réduire les risques dans l’exécution des tâches qui lui incombent, d’autant
plus dans la période actuelle de crise financière.
Recommandation 6
La BCE accepte cette recommandation et reste attachée à poursuivre l’examen, les tests et la compilation
d’une documentation exhaustive de ses modèles de risques et de répartition des actifs dans le but de
satisfaire aux critères les plus stricts.
Recommandation 7
La BCE suit et continuera de suivre les évolutions des normes GIPS, en particulier sous l’aspect de leur
adéquation avec l’établissement des rapports internes de la BCE sur les performances des placements.