Risque opérationnel et

stratégie bancaire

7-8 décembre 2004

kpmg
kpmg Page 1
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Sommaire
Introduction : de Bâle I à Bâle II

1. Définition du risque opérationnel

1.1. Présentation de Bâle I
1.2. Typologie des risques selon Bâle II
1.3. Enjeux et challenge pour les banques

2. Gestion du risque opérationnel

2.1. Présentation du contrôle interne
2.2. Mesure et sélection du risque opérationnel
2.3. Documentation des procédures, cartographie des processus et élaboration de reporting
2.4. « Sound practices » selon le Comité de Bâle

3. Présentation des méthodes selon Bâle 2

3.1. Évaluation des besoins en capital
3.2. Principales exigences par méthode
3.3. Avantages et inconvénients de chaque méthode

4. Mise en application
4.1. Analyse de l’existant et choix de la méthode
4.2. Plan d’action
4.3 Exemple de mise en application

Conclusion : Facteurs clés de succès

Page 2
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Introduction : de Bâle I à Bâle II

Le ratio Cooke a été mis en place dans le cadre de l’Accord Bâle I en

1988

q Intérêts de l’Accord Bâle I (Ratio Cooke):

ü Méthodologie simple : faible nombre de risques auxquels sont associées des pondérations.
ü Mise en œuvre aisée.
ü Caractère évolutif.

q Une norme minimale de fonds propres de 8%

q Les faiblesses du ratio Cooke :

ü Une absence de sensibilité aux risques.
ü Une estimation incomplète des risques.
ü Une approche indépendante du profil de risque de chaque banque et de son degré de
sophistication.

Page 3
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Introduction : de Bâle I à Bâle II

q Intérêts de Bâle I :
ü Harmonisation des règles de concurrence entre les banques

ü Amener les banques à opter pour une approche plus sélective du crédit
ü Au travers d’outils opérant la distinction entre « bons » et « mauvais » risques

q Limites :
ü Les banques n’ont pas de méthodologies efficaces pour distinguer les « bons » risques des
« mauvais »
ü L’accord s’est donc traduit par un plafonnement du volume des crédits par leur capital
ü Pour améliorer la rentabilité, les banques ont donc cherché à maximiser leur taux de marge
ü Les entreprises se sont tournées vers les marchés financiers
ü Les banques se sont tournées vers les produits dérivés de crédit

Page 4
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Introduction : de Bâle I à Bâle II

q Avancées de Bâle II :
üSubstituer à une réglementation simple mais contraignante, qui a montré ses
limites, une approche plus ouverte
üRepose sur le jugement qualitatif des instances nationales de réglementation.

q Enjeux pour les banques :

üDévelopper de nouvelles techniques de maîtrise des risques pour renforcer
leur crédibilité auprès des instances de réglementation
üEn cas de perte de crédibilité, possibilité de sanctions financières, avec
obligation de renforcer le niveau des fonds propres au delà du capital
réglementaire.

Page 5
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Introduction : de Bâle I à Bâle II

üLa mise en place du Nouvel Accord de Bâle est l’occasion pour les
établissements, notamment au regard du volet risque opérationnel, de revoir
leur environnement de gestion des risques et de mettre en place un processus
intégré de gestion.
üLe suivi de risques opérationnels n’est toutefois pas quelque chose de
nouveau, la prévention de la fraude, la mise en place et le maintien d’un
contrôle interne efficace ainsi que la réduction des erreurs de traitement
faisant déjà partie des préoccupations quotidiennes des établissements.
üLa mise en oeuvre d’un dispositif intégré de gestion des risques opérationnels
constitue néanmoins pour les établissements un véritable défi qui peut se
transformer en avantage concurrentiel

Page 6
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Sommaire
Introduction : de Bâle I à Bâle II

1. Définition du risque opérationnel

1.1. Présentation de Bâle II
1.2. Typologie des risques selon Bâle II
1.3. Enjeux et challenge pour les banques

2. Gestion du risque opérationnel

2.1. Présentation du contrôle interne
2.2. Mesure et sélection du risque opérationnel
2.3. Documentation des procédures, cartographie des processus et élaboration de reporting
2.4. « Sound practices » selon le Comité de Bâle

3. Présentation des méthodes selon Bâle 2

3.1. Évaluation des besoins en capital
3.2. Principales exigences par méthode
3.3. Avantages et inconvénients de chaque méthode

4. Mise en application
4.1. Analyse de l’existant et choix de la méthode
4.2. Plan d’action
4.3 Exemple de mise en application

Conclusion : Facteurs clés de succès

Page 7
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Définition du risque opérationnel
Présentation de Bâle II

q Ratio de solvabilité actuel : Ratio Cooke

Fonds Propres Réglementaires

Ratio Cooke = > 8%

Encours Risque de crédit pondéré

Méthodologie de calcul du Ratio Cooke

Fonds Propres réglementaires Encours Risque de Crédit Pondéré - RCP

Secteurs Pondération
Fonds propres de base Etats OCDE 0%
+ fonds propres complémentaires Banques 20% X Encours
Hypothécaires 50%
- déductions Normal 100%

Page 8
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Définition du risque opérationnel
Présentation de Bâle II

è
è En
En faisant
faisant du du nouveau
nouveau ratio
ratio ::
•• unun instrument d’adéquation des
instrument d’adéquation des fonds
fonds
propres au profil de risque réel
propres au profil de risque réel de de
l’Établissement
l’Établissement
•• unun outil
outil de
de pilotage
pilotage dede l’établissement
l’établissement
par la convergence du capital
par la convergence du capital
réglementaire
réglementaire et et du
du capital
capital économique
économique

Combler
Combler les
les lacunes
lacunes è
è En
En permettant
permettant àà chaque
chaque établissement
établissement de
de
choisir la méthode la plus appropriée
choisir la méthode la plus appropriée à son à son
de
de l’actuel
l’actuel ratio
ratio contexte
contexte (profil
(profil de
de risque
risque et
et maturité
maturité des
des
Cooke
Cooke pratiques) dans une démarche progressive
pratiques) dans une démarche progressive

è
è En
En exigeant
exigeant la
la mise
mise en
en œuvre
œuvre de de pratiques
pratiques
rigoureuses
rigoureuses dede gestion
gestion des
des risques
risques
•• garantes
garantes de la sécurité des
de la sécurité des déposants
déposants
•• gages de transparence et d’émulation
gages de transparence et d’émulation
au
au sein
sein de
de la
la place
place

Page 9
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Définition du risque opérationnel
Présentation de Bâle II

Pilier I Pilier II
Pilier III
Exigence minimale Surveillance
Discipline de marché
en fonds propres prudentielle

Risque de crédit

• Approche Standard
• Approche des Notations Processus interne Diffusion régulière
Internes Fondation d’évaluation des risques d’informations sur les
• Approche des Notations et d’adéquation des risques et l’adéquation
Internes Avancée fonds propres des fonds propres

Risque opérationnel

• Approche de Base Surveillance des

Transparence de la
• Approche Standard procédures et du profil
communication
• Approche Avancée global de risque par les
financière
autorités de contrôle

Risque de marché

Page 10
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Définition du risque opérationnel
Présentation de Bâle II

Pilier I
Exigence minimale
en fonds propres
Refonte complète du ratio Cooke et introduction de
méthodes d’évaluation du risque de crédit
fondées sur les notations internes
Risque de crédit

Approche Standard
Approche des Notations
Internes Fondation
Approche des Notations
Internes Avancée La prise en compte du risque opérationnel et sa
couverture en fonds propres est une des
principales nouveautés de l’accord de Bâle.
Risque opérationnel

Approche de Base
Approche Standard
Approche Avancée
La prise en compte du risque de marché a été
introduite en 1996, elle n’est modifiée qu’à la
Risque de marché
marge par l’ accord de Bâle II

Page 11
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Définition du risque opérationnel
Présentation de Bâle II

Le nouveau Ratio McDonough maintient la définition actuelle du capital minimum de

8% de l ’encours de risque pondéré. Seul le dénominateur du ratio est impacté par la
révision.

Fonds Propres
Ratio McDonough = > 8%

Risque de Crédit Risque de Risque Opérationnel

Marché

6,6 % 0,4 % 1%

Gestion du risque de crédit Gestion du risque opérationnel

3 méthodes 3 méthodes
- Approche Standard - Approche Indicateur de Base
- Approche Notations Internes Fondation - Approche Standard
- Approche Notations Internes Avancée - Approche Avancée

Page 12
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Définition du risque opérationnel
Présentation de Bâle II

Pilier II La mise en place du Pilier II est un changement

réglementaire profond :
Surveillance prudentielle
Il impose aux établissements financiers de mettre
en place des fonctions, des outils, des procédures
de contrôle et de surveillance des risques en
interne
L’impact pour les établissements financiers est
d’autant plus important que les moyens actuels de
Processus interne surveillance prudentielle sont limités
d’évaluation des risques
et d’adéquation des
fonds propres
Le rôle des régulateurs nationaux (Commission
Bancaire pour la France) est renforcé et inclut :
L’ évaluation des mécanismes d’appréciation des
exigences en fonds propres mis en place
Surveillance des La possibilité d’augmenter l’exigence minimale de
procédures et du profil fonds propres si le profil de risque de
global de risque par les l’établissement le justifie
autorités de contrôle

Page 13
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Définition du risque opérationnel
Présentation de Bâle II

Pilier III
Discipline de marché

Le Pilier III impose aux établissements financiers

une communication régulière et transparente aux
Diffusion régulière marchés concernant
d’informations sur les • la politique de la banque en matière de
risques et l’adéquation
des fonds propres
gestion des risques,
• le niveau de ceux-ci
• la couverture des risques par les fonds
propres
Transparence de la
communication
financière

Page 14
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Définition du risque opérationnel
Présentation de Bâle II

• Octobre 2002 Publication de l’Etude d’Impact (Quantitative Impact Study 3 : QIS3)

• Avril 2003 Publication du Nouvel Accord de Bâle, dernier document soumis à consultation
(Consultative Paper 3 : CP3)
• Juillet 2003 Fin de la période de consultation
• Avant fin 2003 Publication de l’Accord Final
• Avant fin 2005 Publication de la Directive Européenne
• Fin 2006 Mise en œuvre de Bâle II
Période de
Transition (3 ans)

Publications QIS Période

« Consultativ Bâle II
e Paper » 3 Accord
Bâle II 3.0 Réponses (CP3) Final

Union Proposition de
Européenne directive UE

2002 2003 2004 2005 2006 Jan 07 Jan

Q Q4 Q Q Q Q4 10
3 1 2 3

Mise en œuvre
de Bâle II

Page 15
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Sommaire
Introduction : de Bâle I à Bâle II

1. Définition du risque opérationnel

1.1. Présentation de Bâle II
1.2. Typologie des risques selon Bâle II
1.3. Enjeux et challenge pour les banques

2. Gestion du risque opérationnel

2.1. Présentation du contrôle interne
2.2. Mesure et sélection du risque opérationnel
2.3. Documentation des procédures, cartographie des processus et élaboration de reporting
2.4. « Sound practices » selon le Comité de Bâle

3. Présentation des méthodes selon Bâle 2

3.1. Évaluation des besoins en capital
3.2. Principales exigences par méthode
3.3. Avantages et inconvénients de chaque méthode

4. Mise en application
4.1. Analyse de l’existant et choix de la méthode
4.2. Plan d’action
4.3 Exemple de mise en application

Conclusion : Facteurs clés de succès

Page 16
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Définition du risque opérationnel
Typologie des risques selon Bâle 2

q Définition du risque opérationnel selon le CRBF 97 – 02 modifié :

“le risque résultant d’une inadaptation ou d’un défaillance imputable à

üdes procédures,

ü le personnel

ü les systèmes internes

ü les événements extérieurs”

q Définition du risque opérationnel selon Bâle II :

Le risque opérationnel peut être défini comme le risque de pertes résultant de l’inadaptation ou
de la défaillance de procédures et processus internes, le risque de personnes, de systèmes et
d’événements extérieurs. Le risque opérationnel englobe aussi le risque juridique (ce risque
inclut entre autres le risque de sanctions par les autorités de tutelle et le risque de litige avec une
contrepartie) mais exclut le risque stratégique et le risque de réputation.

Page 17
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Définition du risque opérationnel
Typologie des risques selon Bâle 2

Typologie proposée par le Comité pour le risque opérationnel

•
•FraudeInterne
Fraude Interne

•
•FraudeExterne
Fraude Externe
•
• Pratiquesde
Pratiques demanagement
managementet
etsécurité
sécuritéphysique
physique
•
• Clients,produits
Clients, produitset
etpratiques
pratiquescommerciales
commerciales
•
• Dommagesaux
Dommages auxactifs
actifscorporels
corporels
•
• Défaillancedes
Défaillance dessystèmes
systèmesd'information
d'information
•
• Traitementdes
Traitement desopérations
opérationset
etgestion
gestiondu
duservice
service

Page 18
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Définition du risque opérationnel
Typologie des risques selon Bâle 2

Fraude des employés Conformité des

Intégrité opérations
Absences / Mouvements Erreurs manuelles
sociaux Maîtrise des
Compétences processus clés
Obsolescence Sous-traitance Risque politique /
Pannes / souverain
défaillances des Catastrophes
systèmes naturelles
Sécurité, capacité Personnes Processus Activités
des systèmes criminelles
Risque
Erreurs de Réglementation
programmation opérationnel

Systèmes Evénements
extérieurs

Page 19
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Définition du risque opérationnel
Typologie des risques selon Bâle 2

Typologie de
risques
opérationnels
Bâle II

Page 20
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Définition du risque opérationnel
Typologie des risques selon Bâle 2

Typologie de
risques
opérationnels
Bâle II

Page 21
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Définition du risque opérationnel
Typologie des risques selon Bâle 2

q Le Comité de Bâle reconnaît que la définition des risques opérationnels peut être différent
d’un établissement bancaire à l’autre. Par conséquent, les banques pourront, en fonction de
leur organisation interne, leur taille, la nature et complexité de leurs activités, adopter leur
propre définition des risques opérationnels.

Page 22
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Sommaire
Introduction : de Bâle I à Bâle II

1. Définition du risque opérationnel

1.1. Présentation de Bâle II
1.2. Typologie des risques selon Bâle II
1.3. Enjeux et challenge pour les banques

2. Gestion du risque opérationnel

2.1. Présentation du contrôle interne
2.2. Mesure et sélection du risque opérationnel
2.3. Documentation des procédures, cartographie des processus et élaboration de reporting
2.4. « Sound practices » selon le Comité de Bâle

3. Présentation des méthodes selon Bâle 2

3.1. Évaluation des besoins en capital
3.2. Principales exigences par méthode
3.3. Avantages et inconvénients de chaque méthode

4. Mise en application
4.1. Analyse de l’existant et choix de la méthode
4.2. Plan d’action
4.3 Exemple de mise en application

Conclusion : Facteurs clés de succès

Page 23
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Définition du risque opérationnel
Enjeux et challenge pour les banques

q Culture du risque et choix d’une approche :

Elle est propre à chaque établissement et dépend de la complexité de sa structure, de son
histoire et de la philosophie du management en matière de risque. Néanmoins un certain
nombre d’échelons sont à gravir pour passer d’une approche basique de gestion du risque
opérationnel à une réelle démarche structurante à valeur ajoutée et source de création de
valeur.

Page 24
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Définition du risque opérationnel
Enjeux et challenge pour les banques

q Création de valeur (1/2):

La mise en oeuvre d’un dispositif intégré de gestion des risques opérationnels constitue
pour les établissements un véritable défi qui peut se transformer en avantage concurrentiel
dans la mesure où ceux-ci souhaitent en faire un exercice à valeur ajoutée.

La mise en place d’un environnement de gestion intégrée permet :

ü d’identifier et de pouvoir anticiper les risques opérationnels au sein de
l’établissement,
ü de disposer de mesures de performances objectives,
ü de véhiculer une « culture de contrôle » afin que les différents services puissent
prendre en compte les risques opérationnels.

Page 25
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Définition du risque opérationnel
Enjeux et challenge pour les banques

q Création de valeur (2/2):

La création de valeur se traduit notamment par :
ü une élimination des contrôles en doublons ou non nécessaires (grâce au recensement et
analyse des tâches et contrôles existants),
ü une réduction des erreurs,
ü une amélioration de la qualité (induisant une meilleure rétention de la clientèle),
ü une réduction des coûts, des gains de productivité,
ü une meilleure allocation des ressources par rapport aux différents risques et
ü un avantage concurrentiel qui, grâce à une meilleure compréhension et gestion des risques
opérationnels, se matérialise par une tarification plus compétitive.
La création de valeur doit également permettre au management de prendre les décisions
adéquates concernant certaines activités au regard des risques portés : arrêter l’activité,
réduire les risques, transférer les risques ou les accepter car peu significatifs par rapport aux
bénéfices générés.

Page 26
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Définition du risque opérationnel
Enjeux et challenge pour les banques

q Le cabinet d’analystes IDC prévoit qu’à compter de 2004, les banques vont consacrer une plus grande
partie de leurs budgets informatiques à l’adaptation de leurs systèmes aux nouvelles exigences de Bâle II
et en particulier au développement de solutions de gestion du risque.

q DATAMONITOR prévoit que les dépenses des banques européennes dans Bâle II vont atteindre 1,9
Mds $ en 2004 et 2 Mds $ en 2005.

q Une analyse menée par Group 1 Software et Marketing UK auprès des 500 premières banques
internationales révèle les priorités des banques aujourd'hui :
ü Gestion du risque opérationnel 75%
ü Amélioration du service clientèle 71%
ü Conformité réglementaire 66%

Ces résultat illustrent la stratégie des banques internationales : allier les dépenses imposées
(conformité réglementaire) à l’obtention d’un avantage concurrentiel (gestion du risque
opérationnel et amélioration du service clientèle)

Page 27
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Sommaire
Introduction : de Bâle I à Bâle II

1. Définition du risque opérationnel

1.1. Présentation de Bâle II
1.2. Typologie des risques selon Bâle II
1.3. Enjeux et challenge pour les banques

2. Gestion du risque opérationnel

2.1. Présentation du contrôle interne
2.2. Mesure et sélection du risque opérationnel
2.3. Documentation des procédures, cartographie des processus et élaboration de reporting
2.4. « Sound practices » selon le Comité de Bâle

3. Présentation des méthodes selon Bâle 2

3.1. Évaluation des besoins en capital
3.2. Principales exigences par méthode
3.3. Avantages et inconvénients de chaque méthode

4. Mise en application
4.1. Analyse de l’existant et choix de la méthode
4.2. Plan d’action
4.3 Exemple de mise en application

Conclusion : Facteurs clés de succès

Page 28
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

q Les définitions réglementaires en matière de contrôle interne (1/2) :

En France, elles ont été initiées dès les années 1960-70 par la profession comptable dans le souci de garantir la
fiabilité, la sincérité et la régularité des comptes des entreprises.

Définition de l’Ordre des Experts Comptables-1977

« Le Contrôle Interne est l’ensemble des sécurités contribuant à la maîtrise de l’entreprise. Il a pour but d’un côté
d’assurer la protection, la sauvegarde du patrimoine et la qualité de l’information, de l’autre l’application des
instructions de la Direction et de favoriser l’amélioration des performances. Il se manifeste par l’organisation, les
méthodes et les procédures de chacune des activités de l’entreprise, pour maintenir la pérennité de celle ci ».

Page 29
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

q Les définitions réglementaires en matière de contrôle interne (2/2) :

Définition du CRB 97-02 (Article 1er) applicable à ce jour aux établissements de crédit :

Le CRB 97-02 donne également une définition du contrôle interne :

« Le contrôle interne comprend notamment :
ü un système de contrôle des opérations et des procédures internes
ü une organisation comptable et du traitement de l’information
ü des systèmes de mesure des risques et des résultats
ü des systèmes de surveillance et de maîtrise des risques
ü un système de documentation et d’information.

Page 30
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

q Le dispositif réglementaire français en matière de contrôle interne (1/2)

CRBF 1989 CRBF 90-08 CRBF 97-02 CRBF 2001-01

§ Enquête horizontale sur § Fixe les principales § Abroge le CRBF § Étend le contrôle interne
le contrôle interne obligations des 90-08, qu’il remplace aux risques
établissements de par un nouveau d’intermédiation et de
crédit, afin que les règlement tenant règlement/ livraison
risques encourus par compte des
§ Soumet aux mêmes
eux soient enseignements tirés de
obligations les
parfaitement maîtrisés la mise en œuvre du
établissements de crédit
CRBF 90-08 et des
§ Adoption de ce et les entreprises
travaux conduits au
règlement dans un d’investissement
sein du Comité de Bâle
contexte de
et de l’IME
déréglementation des
marchés

Page 31
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

q Le dispositif réglementaire français en matière de contrôle interne (2/2)

CRBF 1989 CRBF 90-08 CRBF 97-02 CRBF 2001-01

§ Objectif vis-à-vis de
l’étranger de montrer
l’importance attachée à
la maîtrise des risques
et à la mise en place
d’outils dans le cadre
du passage à la
monnaie unique

Le règlement 2004 – 02 impose la mise en place de Plans de Continuité de l’Exploitation.

Page 32
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

q La maîtrise des risques bancaires (1/3)

Risque de Risque Risque

liquidité de marché de crédit

Risque financier

Risque Risque externe

de stratégie Risk Management

Risque lié
à l’activité Risque opérationnel
Risque lié aux Risque lié Risque lié
Risque de ressources
humaines aux process aux systèmes
management

Page 33
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

q La maîtrise des risques bancaires (2/3)

« Le contrôle interne comprend notamment des systèmes de surveillance et de maîtrise des risques »
« Le contrôle interne est l’ensemble des sécurités contribuant à la maîtrise de l’entreprise »
(Définition de l’Ordre des Experts-comptables)
Le risque est inhérent à toute activité. Le secteur bancaire est particulièrement exposé en raison de la
nature, de la complexité et de la diversité de ses activité.
Le risque encouru par le secteur bancaire peut avoir des répercussions très fortes sur l’ensemble du
secteur économique, compte-tenu du rôle majeur occupé par les établissements de crédit dans le
financement de l’activité.

Page 34
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

q La maîtrise des risques bancaires (3/3)

Le dispositif de contrôle interne doit permettre :

ü d’appréhender l’ensemble des risques liés à l’activité des établissements de
crédit
ü de pouvoir les mesurer
ü d’en assurer la maîtrise et la surveillance permanente
Cela nécessite :
ü un recensement des risques activité par activité
ü la définition et la mise en place de systèmes de mesure appropriés
ü la définition de limites, opérationnelles et globales
ü la mise en place de systèmes de surveillance

Page 35
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

q Le contrôle interne doit couvrir toutes les composantes de l’établissement, à

savoir :

ü Les activités rattachées aux directions opérationnelles

§ Banque de détail
§ Dépôts
§ Crédits…..
§ Activités de marché
§ Autres

ü Les fonctions support au service des directions opérationnelles

§ Comptabilité
§ Système d’information
§ Personnel
§ Sécurité physique

Page 36
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

q L’efficacité du système de contrôle interne repose sur trois principes

fondamentaux:

ü l’indépendance et la séparation des fonctions

ü la définition des responsabilités et du système de délégation
ü la mise en place d’un processus de contrôle

Page 37
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

q Les enjeux d’un contrôle interne efficient :

Des enjeux …. Intégrés dans un dispositif commun

différenciés … d’amélioration en continu

11
Identifier les enjeux et
définir les objectifs du
contrôle
Fiabilité des
informations

55
22
Sécurité et rentabilité Suivre en permanence Mise en œuvre
des opérations la performance des Identifier les
d’un dispositif de risques
contrôles contrôle interne

Conformité avec la
réglementation
44 33
Définir les moyens et
Anticiper les mettre en place les
risques contrôles

Page 38
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

q Les nouveaux enjeux du contrôle interne :

Contrôle interne et
culture d’entreprise

L’externalisation du L’auto-évaluation du
contrôle interne contrôle interne

RENFORCEMENT DU
DISPOSITIF DE
CONTROLE

Lutte contre le loi

blanchiment de
capitaux Sarbanes-Oxley

Compliance

Page 39
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

Les nouveaux enjeux du contrôle interne :

q Contrôle interne et culture d’entreprise (1/2) :
Au delà de ses aspects réglementaires, le contrôle interne représente un enjeu majeur pour
les entreprises dans la mesure où il contribue :
ü à la maîtrise de l’activité ( maîtrise des risques, des coûts, des process, de
l’organisation)
ü au renforcement de son image de marque ( le contrôle interne est source de
qualité, de rentabilité, de création de valeur)
ü à la cohésion interne ( le contrôle interne permet de fédérer l’ensemble du
personnel sur une stratégie et des objectifs commun)
Le contrôle interne acquiert ainsi une véritable dimension culturelle :
ü il facilite l’intégration des opérationnels : sensibilisation aux risques,
appropriation des contrôles, réactivité accrue, description et amélioration des
procédures, réalisation des objectifs
ü il repose sur un système de délégation qui implique la responsabilisation de
chacun
ü il contribue à la diffusion des « meilleures pratiques »

Page 40
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

Les nouveaux enjeux du contrôle interne :

q Contrôle interne et culture d’entreprise (2/2) :
La diffusion de cette culture repose en grande partie sur les dirigeants, qui sont chargés :
ü de définir la stratégie et les objectifs de l’entrepris
ü de contribuer à leur diffusion et leur adhésion au sein de l’ensemble du
personnel
ü de mettre à disposition les moyens nécessaires à leur réalisation
ü de surveiller leur mise en application
L’audit interne est également fortement impliqué :
ü il sensibilise les dirigeants et les organes délibérants aux enjeux du contrôle
interne
ü il assure un rôle éducatif et un rôle d’encadrement auprès du management et
des
opérationnels
ü il est garant de la cohésion du système

Page 41
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

Les nouveaux enjeux du contrôle interne :

q Auto-évaluation du contrôle interne (1/3) :
La démarche d’auto-évaluation du contrôle interne, déjà pratiquée aux Etats-Unis et au
Canada, commence à être expérimentée en France.
Elle répond à plusieurs objectifs :
ü elle contribue à l’adaptation constante du système de contrôle interne et
s’inscrit ainsi dans la démarche qualité
ü elle a une forte valeur pédagogique : elle facilite l’appropriation par les
opérationnels et le management de la culture de contrôle et les implique
directement dans sa mise en œuvre
ü elle permet une évaluation continue de l’efficacité du système à moindre coût
et au plus près des besoins
ü elle contribue à la diffusion des « meilleures pratiques »

Page 42
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

Les nouveaux enjeux du contrôle interne :

q Auto-évaluation du contrôle interne (2/3) :
L’auto-évaluation du contrôle interne repose sur un certain nombre d’outils, notamment
ü les questionnaires : élaborés avec l’assistance de l’audit interne, ils doivent
être adaptés à l’activité et au niveau hiérarchique. Ils ne doivent pas porter de
jugement sur la performance.
ü le référentiel des meilleures pratiques : structuré par les risques et les
objectifs de contrôle, il doit être modulaire pour pouvoir s’adapter aux
métiers et évolutif pour pouvoir intégrer les changements
ü le manuel qualité : guide pratique rappelant les enjeux du contrôle interne, et
décrivant la démarche d’évaluation et d’amélioration.

Page 43
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

Les nouveaux enjeux du contrôle interne :

q Auto-évaluation du contrôle interne (3/3) :
L’efficacité du système repose sur trois éléments clés :
ü la définition d’un plan d’action : la mission d’auto-évaluation doit être
planifiée et encadrée, les tâches clairement définies et réparties, et les moyens
mis en oeuvre
ü l’implication du management : conscient des objectifs et des enjeux, il anime
et coordonne le processus, encadre les équipes et assure le suivi de la mission
ü le rôle de l’audit interne : il apporte son assistance et sa compétence au
management aux différents stades de la mission et contribue ainsi à son
efficacité

Page 44
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

Les nouveaux enjeux du contrôle interne :

q L’externalisation du contrôle interne (1/2) :
Principe : un accord d’externalisation de l’audit interne est un contrat passé entre
l’établissement et un prestataire de services pour fournir des services d’audit interne.
ü Avantages : deux avantages principaux
§ petites structures : petites banques dont la taille et l’étendue des risques ne
justifient pas de confier la fonction d’audit interne à une personne à temps
complet
§ entités de plus grande taille : une externalisation ciblée peut être utile par exemple
lorsqu’elle permet d’apporter à la mission d’audit des compétences ou un savoir
faire spécifique, non disponible en interne
ü Mise en œuvre : l’externalisation de l’audit interne nécessite
§ le choix du prestataire extérieur
§ la signature d’un contrat

Page 45
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

Les nouveaux enjeux du contrôle interne :

q L’externalisation du contrôle interne (2/2) :
Choix du prestataire extérieur :
ü Compétences : le prestataire extérieur doit être une entreprise compétente,
disposant des connaissances et de l’expertise adaptées aux nécessités de la mission
et à son degré de complexité
ü Indépendance : bien que certains pays l’admettent, il convient d’éviter de confier
une mission d’externalisation de l’audit interne à l’auditeur externe de l’entreprise
ou du groupe. En effet, ce type de contrat serait de nature à compromettre
l’indépendance de l’auditeur externe.

Page 46
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

Les nouveaux enjeux du contrôle interne :

q Compliance :
ü Fonction déjà largement développée aux États-Unis et en Angleterre, qui s’étend
progressivement à d’autres pays
ü Le périmètre de la fonction peut varier sensiblement d’un établissement à l’autre
ü Couvre en général tous les aspects liés à la déontologie : respect, par les différents
départements, du code de déontologie de la banque
ü Couvre également le respect des dispositions législatives, avec un champ plus ou
moins important pour ces dernières
ü Fonction visant à garantir le respect des lois, des directives internes et des textes
réglementaires
ü Contrôle le Rôle influant dans le cadre notamment de la lutte contre le blanchiment de
capitaux

Page 47
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

Les nouveaux enjeux du contrôle interne :

q Lutte contre le blanchiment de capitaux :
ü De fortes contraintes législatives et réglementaires dans de nombreux pays
ü Un dispositif juridique reposant sur les recommandations du GAFI, des textes
supranationaux et des dispositions nationales
ü Un renforcement des contrôles des autorités de tutelle
ü En Algérie :
§ Les banques devraient être concernées dans le futur notamment compte tenu de
l’importance de ce sujet sur le plan international
§ Implication des banques algériennes dès à présent dans leurs relations avec des
banques correspondantes étrangères (ex.: en France, récent règlement obligeant
les établissements de crédit à passer des conventions avec leurs correspondants
étrangers pour le compte desquels ils reçoivent des chèques, précisant les
contrôles anti-blanchiment mis en place localement)

Page 48
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

Les nouveaux enjeux du contrôle interne :

q Loi Sarbanes –Oxley (1/4) :
Le contexte :

ü Loi adoptée aux EU le 30 juillet 2002 après le scandale

ü Fixe le cadre du contrôle des sociétés cotées

Le contenu de la loi : 5 volets principaux

1. Réglementation de la profession d’auditeurs externes

2. Renforcement de l’indépendance des auditeurs externes

3. Amélioration du fonctionnement du gouvernement d’entreprise

4. Amélioration de l’information publiée

5. Renforcement de la réglementation boursière et des sanctions

Page 49
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

Les nouveaux enjeux du contrôle interne :

q Loi Sarbanes –Oxley (2/4) :
Amélioration du fonctionnement du gouvernement d’entreprise

ü Certification des comptes annuels et trimestriels par le dirigeant

ü Nomination au sein du CA d’une majorité d’administrateurs indépendants

ü Renforcement du rôle des comités d’audit :

§ Composition : administrateurs indépendants
§ En charge de la nomination des auditeurs externes

ü Interdiction aux sociétés cotées d’accorder des prêts aux administrateurs et

dirigeants

Page 50
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

Les nouveaux enjeux du contrôle interne :

q Loi Sarbanes –Oxley (3/4) :
Amélioration de l’information publiée

ü Information du public en temps réel de tout changement significatif sur la

situation financière ou l’activité de la société

ü Information sur le hors-bilan

ü Allongement des délais de conservation par les auditeurs externes de leurs

dossiers d’audit

Page 51
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Le dispositif de contrôle interne

Les nouveaux enjeux du contrôle interne :

q Loi Sarbanes –Oxley (4/4) :
Renforcement de la réglementation boursière et des sanctions

ü Renforcement du dispositif pénal en cas de fraude relative à l’établissement des

comptes

ü Possibilité pour la SEC de poursuivre des personnes ayant porté atteinte à

l’indépendance des auditeurs

Page 52
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Sommaire
Introduction : de Bâle I à Bâle II

1. Définition du risque opérationnel

1.1. Présentation de Bâle II
1.2. Typologie des risques selon Bâle II
1.3. Enjeux et challenge pour les banques

2. Gestion du risque opérationnel

2.1. Présentation du contrôle interne
2.2. Mesure et sélection du risque opérationnel
2.3. Documentation des procédures, cartographie des processus et élaboration de reporting
2.4. « Sound practices » selon le Comité de Bâle

3. Présentation des méthodes selon Bâle 2

3.1. Évaluation des besoins en capital
3.2. Principales exigences par méthode
3.3. Avantages et inconvénients de chaque méthode

4. Mise en application
4.1. Analyse de l’existant et choix de la méthode
4.2. Plan d’action
4.3 Exemple de mise en application

Conclusion : Facteurs clés de succès

Page 53
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Mesure et sélection du risque opérationnel

q La première étape consiste, pour l’établissement, à produire sa définition des risques

opérationnels et à en déterminer ses principales composantes.
Echec à recruter,
développer, retenir
Infrastructure ou gérer Mauvaise architecture,
Absence de communication utilisation ou fonctionnalité
ou communication inadéquate de contrôle interne les ressources humaines
inadéquate ou non performante des systèmes d’informations
interne et/ou externe ou des bases de données

Communication Cadre de Ressources Systèmes

contrôle interne Humaines d’informations
Gestion des changements
dans la législation M a u v a ise gestion
des changements
dans la structure

Développem e n t Management Gestion

Juridique Distribution de produits et Marchés du changem e n t
et services prise de décision
Mauvaise sélection
des fournisseurs
car perform a n c e s
Fiscalité Fournisseurs non optimales

Gestion,
architecture Modélisation Stratégie Crédits Fraude
des process

Perte d’actifs
au profit de gains personnels
Gestion des changements due à une présentation
en fiscalité Evénements délibérément erronée
Inadéquation, Comptabilité
et respect des règles et pratiques Réglementation physiques
absence
ou inefficacité externes
des process existants

Changement Compris dans l’étendue du risque opérationnel

Destruction,
dans la réglementation comptable, Changements
perte d’actifs
application des principes, réglementaires
méthodes et pratiques comptables Non compris dans l’étendue du risque opérationnel

Page 54
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Mesure et sélection du risque opérationnel

q Chaque établissement doit se forger sa propre définition du risque opérationnel. Les

composantes du risque opérationnel doivent cependant pouvoir être rattachées aux
différentes familles de risques tels que définis par Bâle 2.

q L’identification des risques se fait au travers d’ateliers de travail, d’entretiens avec les
opérationnels, d’analyse des « Pertes et Profits » des années antérieures ainsi que de tout
autre support recensant les dysfonctionnements ayant pu récemment ou historiquement
avoir lieu au sein de l’établissement (rapports d’audit interne, rapports des autorités de
tutelle, cahiers de bord/incidents des services, …).

q Définition d’une cartographie des risques, qui permet de représenter les risques selon 2
axes d’analyse :
ü Probabilité d’occurrence
ü Niveau de gravité

Page 55
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Mesure et sélection du risque opérationnel
q Cartographie des risques :
Elle permet d’apprécier les risques avérés ou potentiels et de les représenter selon deux axes d’analyse :
leur probabilité d’occurrence et leur niveau de gravité.

Probabilité d'occurrence de 1 (très faible) à 5 (très élevée)

5
Risque 1

Risque Très
Faible à Faible 2
Risque 2
Risque Moyen
1
Risque Elevé à
Très Elevé

TF F M E TE
Niveau de gravité
(de très faible à très élevé)

Page 56
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Mesure et sélection du risque opérationnel

q Deuxième étape : Évaluation des contrôles clé

- Appréciation de la pertinence et de la qualité des contrôles existants
- Identification des contrôles inutiles, des contrôles insuffisants ou inexistants

Objectif : Juger de la réalité et de l’efficacité des contrôles de 1er et 2d niveau

Page 57
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Mesure et sélection du risque opérationnel

q A partir de cette évaluation des contrôles mis en place, élaboration d’une cartographie des
risques résiduels.

Probabilité d'occurrence de 1 (très faible) à 5 (très élevée)

5
Risque 1

R isque T rès
Faible à Faible 2
R isque 2
R isque Moyen
1
R isque Elevé à
Très Elevé

TF F M E TE
N iveau de gravité
(de très faible à très élevé)

Page 58
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Sommaire
Introduction : de Bâle I à Bâle II

1. Définition du risque opérationnel

1.1. Présentation de Bâle II
1.2. Typologie des risques selon Bâle II
1.3. Enjeux et challenge pour les banques

2. Gestion du risque opérationnel

2.1. Présentation du contrôle interne
2.2. Mesure et sélection du risque opérationnel
2.3. Documentation des procédures, cartographie des processus et élaboration de reporting
2.4. « Sound practices » selon le Comité de Bâle

3. Présentation des méthodes selon Bâle 2

3.1. Évaluation des besoins en capital
3.2. Principales exigences par méthode
3.3. Avantages et inconvénients de chaque méthode

4. Mise en application
4.1. Analyse de l’existant et choix de la méthode
4.2. Plan d’action
4.3 Exemple de mise en application

Conclusion : Facteurs clés de succès

Page 59
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Documentation des procédures, cartographie des processus et élaboration de reporting

q Parallèlement à l’identification et à la cartographie des risques opérationnels,

l’établissement doit s’assurer de l’existence d’une documentation, d’une formalisation
des procédures de contrôle et des éléments constitutifs du cadre de contrôle interne en lien
avec la gestion du risque opérationnel:
ü Existence de procédures, guides opératoires,
ü Descriptions de fonctions,
ü Description des tâches et contrôles.

q La cartographie des processus de l’établissement est également primordiale afin d’avoir

une bonne visibilité sur l’ensemble des chaînes de traitement de l’information afin de
pouvoir proposer des corrections permettant de remédier aux infractions.

Page 60
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Documentation des procédures, cartographie des processus et élaboration de reporting

q Documentation des procédures (1/2):

Selon le règlement CRBF n° 97-02 modifié, « les établissements de crédit doivent élaborer
et tenir à jour des manuels de procédures relatifs à leurs différentes activités ».
ü Le manuel doit être clair, organisé, précis et complet dans son contenu, facilement
accessible par les utilisateurs (consultation sur intranet par exemple) et régulièrement
mis à jour.
ü L’organisation du manuel doit permettre de faire le lien entre les objectifs de chacun
des acteurs, et les moyens et méthodes mis en place pour atteindre efficacement ces
objectifs.
ü Le manuel de procédures doit contenir :
§ des descriptions de fonctions
§ des procédures opérationnelles et de contrôle
§ des documentations et modes opératoires

Page 61
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Documentation des procédures, cartographie des processus et élaboration de reporting

q Documentation des procédures (2/2) :

ü Les banques ont beaucoup de difficultés à tenir un code de procédures. La
composition, la mise au point et la maintenance d’un corps de procédures est un
investissement lourd :
pour un grand établissement à dimensions physiques inexploitables
pour un petit établissement à ampleur de la tâche insurmontable

Page 62
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Documentation des procédures, cartographie des processus et élaboration de reporting

q Cartographie des processus :

Un « processus » est un enchaînement des tâches et contrôles constitutifs de la chaîne de
traitement d’une opération (d’amont en aval).
L’identification des tâches et contrôles se fait au travers d’ateliers et/ou d’entretiens avec
les opérationnels afin d’identifier de manière transversale les chaînes de traitement de
l’information constitutifs des process de l’établissement.

q Élaboration des reporting :

Les établissements doivent disposer de reporting de risques permettant de fournir aux
responsables opérationnels et à la Direction Générale une synthèse de l’évaluation des
différents niveaux de risques opérationnels

Page 63
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Sommaire
Introduction : de Bâle I à Bâle II

1. Définition du risque opérationnel

1.1. Présentation de Bâle II
1.2. Typologie des risques selon Bâle II
1.3. Enjeux et challenge pour les banques

2. Gestion du risque opérationnel

2.1. Présentation du contrôle interne
2.2. Mesure et sélection du risque opérationnel
2.3. Documentation des procédures, cartographie des processus et élaboration de reporting
2.4. « Sound practices » selon le Comité de Bâle

3. Présentation des méthodes selon Bâle 2

3.1. Évaluation des besoins en capital
3.2. Principales exigences par méthode
3.3. Avantages et inconvénients de chaque méthode

4. Mise en application
4.1. Analyse de l’existant et choix de la méthode
4.2. Plan d’action
4.3 Exemple de mise en application

Conclusion : Facteurs clés de succès

Page 64
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
« Sound practices » selon le Comité de Bâle

q Le développement d’un environnement approprié de gestion des risques opérationnels

nécessite que le Conseil d’Administration soit informé des principaux aspects de ces
risques,- devant être suivis au sein de l’établissement comme une catégorie de risques
distincte -, et qu’il revoit et approuve régulièrement le système de gestion.
q Le rôle du Conseil d’Administration consiste également à s’assurer que l’environnement de
gestion fait l’objet d’audits internes pertinents réalisés par des personnes indépendantes et
compétentes. Toutefois, la fonction « audit interne » n’est pas directement responsable du
suivi des risques opérationnels. La Direction de l’établissement a la responsabilité de mettre
en application l’environnement de gestion approuvé par le Conseil d’Administration, de
s’assurer de sa correcte mise en place au sein de l’établissement ainsi que de la bonne
compréhension par le personnel de ses responsabilités en la matière.

Page 65
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
« Sound practices » selon le Comité de Bâle

q L’instauration d’une politique et d’une stratégie en matière de risque opérationnel est un

des principes rappelé dans le « Sound Practices ». Celle-ci doit être couplée à la mise en
place de procédures de contrôle afin de réduire les principaux risques opérationnels,
l’ensemble devant faire l’objet d’un réexamen périodique afin de procéder le cas échéant à
des corrections en fonction des profils de risques souhaités.

q En outre, les établissements doivent mettre en place un processus de suivi régulier des
profils de risques opérationnels ainsi que des expositions aux pertes qui se matérialisera,
dans le cadre d’une démarche de gestion proactive du risque opérationnel, aux travers de
reporting au Conseil d’Administration et à la Direction Générale. De plus, les
établissements devront disposer de plans de continuité d’activité afin de leur permettre
d’assurer la poursuite de l’activité et de limiter les pertes en cas de perturbations
significatives.

Page 66
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
« Sound practices » selon le Comité de Bâle

4 principes directeurs :

q Développement d’une « culture d’entreprise »

ü Le Conseil d’Administration doit avoir connaissance des principaux risques
opérationnels auxquels l’établissement est soumis, le considérer comme une source de
risque distincte et revoir régulièrement la structure dédiée au suivi du risque
opérationnel.
ü Le Conseil d’Administration doit s’assurer que le suivi du risque opérationnel est
contrôlé par l’audit interne. Les équipes dédiées au contrôle interne et au suivi du
risque opérationnel doivent être distinctes.
ü Le Senior Management est en charge de la mise en place de la structure dédiée au
suivi du risque opérationnel, et approuvée par le Conseil d’Administration. Tous les
employés doivent être impliqués dans ce projet.

Page 67
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
« Sound practices » selon le Comité de Bâle

q Gestion du risque : identification, évaluation, suivi et contrôle

ü Les banques doivent identifier et évaluer le risque opérationnel inhérents à leur activité. Le risque
opérationnel inhérent à de nouvelles activités, de nouveaux process ou systèmes doit être
également évalué.
ü Les banques doivent mettre en place une procédure afin de suivre les profils de risque opérationnel
et l’exposition aux pertes. Des reportings réguliers doivent être adressés au senior management et
au conseil d’administration.
ü Les banques doivent mettre en place des process et des procédures permettant de contrôler et
limiter les risques opérationnels. Ces procédures doivent être revues régulièrement.
ü Les banques doivent mettre en place des plans de continuité de l’activité en cas d’incidents graves.

Page 68
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
« Sound practices » selon le Comité de Bâle

q Rôle des régulateurs du secteur bancaire

ü Les régulateurs doivent exiger des banques, quelle que soit leur taille, mette en place
une structure efficace pour identifier, évaluer, suivre et limiter le risque opérationnel.
ü Les régulateurs doivent conduire, directement ou indirectement, une évaluation des
pratiques et procédures mises en place par la banque
ü Les autorités doivent s’assurer de l’existence de mécanismes leur permettant d’être
tenues au courant des changements affectant l’établissement.

q Transparence du dispositif de management du risque opérationnel des données

ü Les banques devraient communiquer sur leur approche et leur suivi du risque afin que
les acteurs du marché puissent les évaluer.
ü L’étendue de l’information à communiquer sur le risque opérationnel n’est pas
strictement définie,

Page 69
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Exemple : les systèmes d’information

q Architecture des systèmes

Les architectures modernes offrent souplesse et évolutivité :

ü plusieurs niveaux de traitements, (ordinateurs centraux, mini-

processeurs, terminaux locaux) insérés dans un réseau de communication

ü des bases de données partageant les informations entre plusieurs

applications à vocation distincte (comptabilité, contrôle de gestion, analyse
des risques,….)

Page 70
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Exemple : les systèmes d’information
Un exemple d’architecture moderne : un système informatique intégré

Système opération
SO1 SO2 SO3 SO4

Compte rendu d’événement

Interpréteur

Permanents
centralisateur Tiers
contrats

Risques Comptabilité Contrôle de gestion Reporting

Page 71
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Exemple : les systèmes d’information

q Architecture des systèmes

Les architectures anciennes sont souvent des systèmes massifs et rigides. Dans un tel
contexte, on constate un accroissement de la micro-informatique :

ü palliatif à court terme

ü rapide à mettre en œuvre

ü peu onéreux

ð à terme, absence d’unité et efficacité peu probante

Page 72
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Exemple : les systèmes d’information

Un exemple d’architecture ancienne : un système informatique disparate

Système Système
SO1 SO2 SO3
comptable risques

Reporting Reporting
Gestion Gestion Gestion
comptable risques

Page 73
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Exemple : les systèmes d’information

qFiabilité des systèmes d’information :procédures de secours

ü Le risque informatique est particulièrement sensible dans le secteur bancaire
compte-tenu du volume de transactions traitées, et des masses financière. Une
défaillance du système peut avoir des répercussions considérables non
seulement pour l’établissement mais pour l’ensemble du secteur économique.
ü Les établissement doivent impérativement s’assurer de l’existence, de la
disponibilité et de la fiabilité de procédures de secours permettant de garantir la
continuité de l’exploitation en cas de dysfonctionnement grave du système.
ü Ce plan de secours doit être testé périodiquement.

Page 74
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Exemple : les systèmes d’information

qGestion des systèmes :

Les principaux problèmes rencontrés sont les suivants:

üles applications anciennes sont vulnérables (concepteurs partis, absence de

documentation…)
üla fiabilité des applications nouvelles reste parfois à démontrer
üdes tableurs peuvent être source d’erreur et de diversité
üles travaux de sous-traitance ne sont pas soumis à des contrôles

q Sécurité physique :

üaccès aux salles d’ordinateurs

üla continuité du fonctionnement des installations (périls, sauvegarde)
üla poursuite de l’exploitation (back up)

Page 75
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Exemple : les systèmes d’information

q Informatique et communications

üSécurité logique (1/2):

§ habilitations sélectives pour l’accès aux fichiers (consultation, utilisation, modification)

§ vérification a priori et a posteriori des messages telex ou SWIFT
§ utilisation des codes et symboles pour les informations confidentielles
§ saisie et validation séparées des opérations
§ confidentialité des codes utilisateurs et des mots de passe (« mouchards »)
§ surveillance des informaticiens
§ séparation entre service d’étude et exploitation
§ confidentialité et intangibilité des programmes
§ protection contre les copies frauduleuses de logiciels et contre l’introduction de virus
§ définition et respect de la déontologie propre aux services informatiques
§ mise en place de tests de sécurité et de contrôle

Page 76
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Gestion du risque opérationnel :
Exemple : les systèmes d’information

qInformatique et communications

üSécurité logique (2/2):

§ contrôler périodiquement la sûreté de toutes les liaisons avec l’extérieur car la

séparation peut être insuffisante entre :

à ordonnateurs et exécutants
à réception et traitement

§ modernisation des techniques entraînant un perfectionnement remarquable des

liaisons entre unités, mais ne distinguant pas parfois l’essentiel

§ lenteur et confusion des communications entre les installations du siège bien moins
équipé

Page 77
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Sommaire
Introduction : de Bâle I à Bâle II

1. Définition du risque opérationnel

1.1. Présentation de Bâle II
1.2. Typologie des risques selon Bâle II
1.3. Enjeux et challenge pour les banques

2. Gestion du risque opérationnel

2.1. Présentation du contrôle interne
2.2. Mesure et sélection du risque opérationnel
2.3. Documentation des procédures, cartographie des processus et élaboration de reporting
2.4. « Sound practices » selon le Comité de Bâle

3. Présentation des méthodes selon Bâle 2

3.1. Évaluation des besoins en capital
3.2. Principales exigences par méthode
3.3. Avantages et inconvénients de chaque méthode

4. Mise en application
4.1. Analyse de l’existant et choix de la méthode
4.2. Plan d’action
4.3 Exemple de mise en application

Conclusion : Facteurs clés de succès

Page 78
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Présentation des méthodes selon Bâle 2

q Définition de 3 approches :
üApproche de base
üApproche standard
üApproche avancée

Page 79
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Présentation des méthodes selon Bâle 2

Elevé

l'organisation
Complexité

Base

Charge
capital
de

de
Standard

AMA (Approche avancée)

Lourd

Page 80
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Présentation des méthodes selon Bâle 2 :
Évaluation des besoins en capital

q Approche de base
ü L’exigence de fonds propres pour les banques utilisant l’approche de base est un
pourcentage fixe, dénoté alpha, de la moyenne annuelle des 3 dernières années du
revenu brut positif (PNB)
ü Le facteur A est fixé à 15%

ü La formule de calcul est la suivante :

Charge en capital = PNB 1 *15% + PNB 2*15% + PNB 3 *15%
3

Page 81
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Présentation des méthodes selon Bâle 2 :
Évaluation des besoins en capital

q Approche standard
ü Les activités de la banque sont réparties en 8 lignes d’activité :
L'exigence au titre du risque opérationnel est différenciée par lignes métier, et est
égale à la moyenne sur les 3 dernières années des sommes des PNB des lignes métier
pondérés par leur coefficient
ü Les coefficients par lignes métiers sont les suivants :
Finance d’entreprise 18%
Activités de marché (Compte propres) 18%
Banque de détail 12%
Banque commerciale 15%
Activité de paiement et de règlement 18%
Service d’agence et conservation 15%
Gestion d’actifs 12%
Activité de marché 12%

Page 82
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Présentation des méthodes selon Bâle 2 :
Évaluation des besoins en capital

q Approche avancée (AMA)

Sous l’approche AMA, l’exigence de fonds propres est générée par le système de mesure
interne du risque opérationnel de la banque.
L’établissement doit déterminer la fréquence et la gravité des pertes. La combinaison de la
fréquence et de la gravité des pertes aboutit à une courbe de distribution qui peut être
utilisée pour estimer les pertes attendues (moyenne) et les pertes inattendues (écart-type).

Page 83
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Présentation des méthodes selon Bâle 2 :
Évaluation des besoins en capital

q Approche avancée (AMA)

ü Exemple de l’approche avancée
Une banque répartit ses activités en 4 catégories et ses événements de pertes en 3 types
de pertes. Elle a collecté pendant plusieurs années des données complétées par le
recours à des banques de données externes.
Les chiffres expriment pour chaque activité et chaque type de pertes une moyenne des
événements de pertes et de la sévérité des pertes.
La perte attendue est le simple produit du nombre de pertes par la sévérité de la perte.
La perte inattendue est estimée en appliquant les multiplicateurs issus de la loi de
Poisson pour les événements de perte et la loi log-normale pour la sévérité des perte
pour un intervalle de confiance de 99,9%.
Le tableau ci-après présente le résultat de ces estimations :

Page 84
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Présentation des méthodes selon Bâle 2 :
Évaluation des besoins en capital

Moyenne des événements de pertes et de leur sévérité

FRAUDES ERREURS DEFAILLANCES
ACTIVITE Nombre Sévérité (milliers €) Nombre Sévérité (milliers €) Nombre Sévérité (milliers €)
Unitaire Cumul Unitaire Cumul Unitaire Cumul

Activité de marché 3 200 600 5 100 500 2 150 300

Facteur multiplicateur 3 9 27 3 11 29 4 8 28
Total 9 1 800 16 200 13 1 100 14 300 7 1 200 8 400

Crédits (Corporate) 1 300 300 6 50 300 2 100 200

Facteur multiplicateur 5 8 40 3 9 23 4 7 25
Total 5 2 400 12 000 15 450 6 750 7 700 4 900

Banque de détail (retail) 10 10 100 20 3 60 2 15 30

Facteur multiplicateur 2 10 21 2 8 14 4 2 7
Total 21 100 2 100 36 24 864 7 29 200

Moyens de paiement 50 15 750 20 5 100 2 200 400

Facteur multiplicateur 1 9 11 2 15 27 3 9 27
Total 60 135 8 100 36 75 2 700 6 1 800 10 800

TOTAL GENERAL PERTE MOYENNE (ATTENDUE) 3 640

TOTAL GENERAL PERTE INATTENDUE (EXIGENCE DE FONDS PROPRES) 87 314

Page 85
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Sommaire
Introduction : de Bâle I à Bâle II

1. Définition du risque opérationnel

1.1. Présentation de Bâle II
1.2. Typologie des risques selon Bâle II
1.3. Enjeux et challenge pour les banques

2. Gestion du risque opérationnel

2.1. Présentation du contrôle interne
2.2. Mesure et sélection du risque opérationnel
2.3. Documentation des procédures, cartographie des processus et élaboration de reporting
2.4. « Sound practices » selon le Comité de Bâle

3. Présentation des méthodes selon Bâle 2

3.1. Évaluation des besoins en capital
3.2. Principales exigences par méthode
3.3. Avantages et inconvénients de chaque méthode

4. Mise en application
4.1. Analyse de l’existant et choix de la méthode
4.2. Plan d’action
4.3 Exemple de mise en application

Conclusion : Facteurs clés de succès

Page 86
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Présentation des méthodes selon Bâle 2 :
Principales exigences par méthode

Méthode Indicateur de Base

• Implication du Conseil d’Administration et du senior management dans la définition de

la politique de gestion du risque opérationnel “recommandée”

• Recommandations sur la gestion des risques opérationnels :

- Identification, suivi, limitation (e.g. assurances) de l’ensemble
des risques opérationnels,
- Création d’une cellule d’audit interne spécialisée, indépendante du processus de
gestion des risques opérationnels,
- Mise en place d’un reporting régulier et pertinent à destination du Conseil
d’Administration et du senior management

• Approche déconseillée pour les établissements financiers internationaux, attendus sur

des méthodes plus avancées

Calcul de l’encours de risque :

Coefficient fixe de 15% appliqué au PNB

Page 87
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Présentation des méthodes selon Bâle 2 :
Principales exigences par méthode

Méthode Standard

• Fonction de gestion des risques opérationnels

• Respect des exigences de l’approche indicateur de base

• Implication du Conseil d’Administration et du senior management dans la définition de

la politique de gestion du risque opérationnel “nécessaire”

• Processus de gestion du risque opérationnel indépendant

• Publication régulière des données de risque opérationnel au niveau approprié du

management

• Lancement d’une collecte de données systématique des incidents et des données de

pertes pertinentes dès janvier 2004

Calcul de l’encours de risque : Coefficient variable appliqué au PNB

(entre 12 et 18% selon les lignes métier)

Page 88
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Présentation des méthodes selon Bâle 2 :
Principales exigences par méthode

Méthode Avancée (AMA)

• Fonction de gestion du risque opérationnel indépendante

• Processus quotidiens de gestion et d’évaluation des risques

• Un historique de 3 années au minimum de données de pertes est requis (5 années

conseillées)

• Systèmes de traitement des données disponibles et actualisées

• Couverture globale et cohérente de l’ensemble de l’établissement

• De nombreuses exigences détaillées sur la mesure, la validation et l’ajustement des

données

Calcul de l’encours de risque : Coefficient de risque généré par le système

de mesure des risques opérationnels de
l’établissement

Page 89
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Présentation des méthodes selon Bâle 2 :
Principales exigences par méthode

q Approche avancée (AMA)

Sous l’approche AMA, l’exigence de fonds propres est générée par le système de mesure
interne du risque opérationnel de la banque. Des critères quantitatifs et qualitatifs sont à
respecter.
ü Critères qualitatifs :
§ Fonction de gestion des risques opérationnels indépendante, chargée de développer des
stratégies permettant l’identification, l’évaluation, la surveillance, le contrôle et la limitation
du risque opérationnel.
§ Processus quotidiens de gestion et d’évaluation des risques
§ Reporting régulier des expositions au risque opérationnel et des données de pertes adressé au
senior management et au conseil d’administration
§ Documentation, manuel de procédures relatifs au dispositif de gestion du risque opérationnel
§ Revue périodique des processus de gestion et d’évaluation du risque opérationnel par des
auditeurs internes et/ou externes et devant couvrir les activités des centres de profit et la
fonction de gestion des risques opérationnels
§ Validation du système d’évaluation du risque opérationnel par les auditeurs externes et/ou les
autorités de tutelle.

Page 90
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Présentation des méthodes selon Bâle 2 :
Principales exigences par méthode

ü Critères quantitatifs

§ Système d’évaluation du risque opérationnel cohérent avec la définition du risque

opérationnel et la typologie de risques données par le comité.
§ Système de traitement des données disponibles et actualisées,
§ Nombreuses exigences détaillées sur la mesure, la validation et l’ajustement des
données.

Page 91
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Présentation des méthodes selon Bâle 2 :
Principales exigences par méthode

ü Données internes
§ La collecte interne des événements de perte est une condition préalable essentielle pour le
développement et le fonctionnement d’un système de mesure crédible.
§ Ainsi, la banque doit avoir des procédures documentées pour estimer la pertinence des événements
de perte. Un historique d’au moins 5 ans est nécessaire.

ü Données externes
§ Le système de mesure du risque opérationnel doit utiliser des données externes pertinentes :
montant de pertes, taille de l’activité où l’événement s’est produit, causes et circonstances de la
perte et autres informations utiles pour évaluer la pertinence de l’événement de perte pour les autres
banques.
§ Analyse de scénarios : une banque doit utiliser des analyses de scénarios en conjonction avec les
données externes pour évaluer son exposition à des événements sévères.

Page 92
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Sommaire
Introduction : de Bâle I à Bâle II

1. Définition du risque opérationnel

1.1. Présentation de Bâle II
1.2. Typologie des risques selon Bâle II
1.3. Enjeux et challenge pour les banques

2. Gestion du risque opérationnel

2.1. Présentation du contrôle interne
2.2. Mesure et sélection du risque opérationnel
2.3. Documentation des procédures, cartographie des processus et élaboration de reporting
2.4. « Sound practices » selon le Comité de Bâle

3. Présentation des méthodes selon Bâle 2

3.1. Évaluation des besoins en capital
3.2. Principales exigences par méthode
3.3. Avantages et inconvénients de chaque méthode

4. Mise en application
4.1. Analyse de l’existant et choix de la méthode
4.2. Plan d’action
4.3 Exemple de mise en application

Conclusion : Facteurs clés de succès

Page 93
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Présentation des méthodes selon Bâle 2 :
Avantages et inconvénients de chaque méthode

Méthode de Base

Inconvénients

• Risques opérationnels non connus / maîtrisés

• Perception par les acteurs extérieurs

• Gain en Fonds Propres non optimisé

• Evolution organisationnelle de la structure

Avantages

• Facilité de mise en œuvre

Page 94
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Présentation des méthodes selon Bâle 2 :
Avantages et inconvénients de chaque méthode

Méthode Standard
Méthode Avancée

Inconvénients

• Effort de réorganisation

• Effort de mise en œuvre

Avantages

• Gain en FP

• Gestion rigoureuse du risque opérationnel

• Sécurisation de la structure

• Perception par les acteurs extérieurs

Page 95
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Sommaire
Introduction : de Bâle I à Bâle II

1. Définition du risque opérationnel

1.1. Présentation de Bâle II
1.2. Typologie des risques selon Bâle II
1.3. Enjeux et challenge pour les banques

2. Gestion du risque opérationnel

2.1. Présentation du contrôle interne
2.2. Mesure et sélection du risque opérationnel
2.3. Documentation des procédures, cartographie des processus et élaboration de reporting
2.4. « Sound practices » selon le Comité de Bâle

3. Présentation des méthodes selon Bâle 2

3.1. Évaluation des besoins en capital
3.2. Principales exigences par méthode
3.3. Avantages et inconvénients de chaque méthode

4. Mise en application
4.1. Analyse de l’existant et choix de la méthode
4.2. Plan d’action
4.3 Exemple de mise en application

Conclusion : Facteurs clés de succès

Page 96
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Mise en application :
Analyse de l’existant et choix de la méthode

Phases du projet Risque Opérationnel - Bâle II

1 2 3
Elaboration de la Mise en
Analyse de l’existant solution cible risque
& Choix de la œuvre
opérationnel
méthode

Page 97
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Mise en application :
Analyse de l’existant et choix de la méthode

Exemple d’analyse de couverture des exigences

Méthode
Couverture des exigences
Indicateur
de Base
Définition et typologie

100%
Thèmes Notes
80%

Thème 1 : Définition et typologie des risques 13% 60% Environnement de

Reporting
gestion
Thème 2 : Environnement de gestion 25% 40%

20%
Thème 3 : Identification et Mesure 8%
0%
Thème 4 : Pilotage 17%

Thème 5 : Contrôle et réduction 29%

Contrôle et Identification et
Thème 6 : Reporting 0% réduction mesure

Pilotage

Page 98
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Mise en application :
Analyse de l’existant et choix de la méthode

Méthode
Exemple d’analyse de couverture des exigences
Indicateur Synthèse des principaux écarts identifiés
de Base

Thème 2 : Environnement de gestion

Thème 1 : Définition et typologie
• Absence de dispositif de gestion des risques opérationnels
• Pas de définition du risque opérationnel, commune à l’ensemble de la structure
• Une Typologie des risques opérationnels naissante, non exhaustive et à aligner • Pas de mise en place, par la Direction Générale et le Senior Management
aux exigences de Bâle II d’organisation ou de projet dédié à la mise en place de ce dispositif
• Absence de réflexion sur les bénéfices de la mise en œuvre d’une politique
globale de gestion des risques (gestion actuellement éparse et incomplète au
Thème 3 : Identification et mesure sein de la structure)
• Pas de politique de gestion des risques opérationnels élaborée par la Direction
• Démarche d’identification initiée pour certains risques (e.g. Fraude, Plan de • Culture d’entreprise plus basée sur la confiance et l’Oral au dépend de la
secours) mais dispersée, notamment en terme de responsabilité formalisation et de la recherche du risque avéré
• Des exercices de mesure de ces risques ont été initiés mais de façon très
incomplète
Thème 4 : Pilotage
• Absence de démarche méthodologique et systématique d’identification et de
mesure
• Une démarche projet d’auto-évaluation et de cartographie des risques à été
• Absence de processus formalisé de Pilotage des risques opérationnels, fondé
initiée, elle doit être adaptée aux exigences de Bâle (e.g. approche processus,
sur des indicateurs de risques opérationnels ,et une évaluation des contrôles
périmètre d’intervention sur l’ensemble de la structure) effectués
• Pas de remontée de ces indicateurs au niveau de la Direction Générale
Thème 5 : Contrôle et réduction

• Formalisation des contrôles de premier niveau incomplète et non systématique Thème 6 : Reporting
• Fréquence des contrôles existants très variable et non régulière
• Les responsabilités quant à la maîtrise des risques opérationnels n’ont pas été
identifiées • Information relative à la méthode choisie à publier dans le cadre des exigences
pour permettre au marché, selon les exigences de Bâle II, d’accéder à une
• Pas de test du Plan de Secours et pas de Plan de continuité élaboré
information exhaustive et fiable

Page 99
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Mise en application :
Analyse de l’existant et choix de la méthode

Exemple d’analyse de couverture des exigences

Couverture des exigences
Respect de la méthode de Base
Méthode 100%
Standard
80%

Thèmes Notes 60%

40%
Thème 1 : Respect de la méthode de base 12%
20%
Thème 2 : Environnement de gestion 17% Outils 0% Environnement
Collecte
Thème 3 : Identification et Mesure 0%

Thème 4 : Outils de Pilotage et Collecte des

incidents 0%

Identification et mesure

Page 100
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Mise en application :
Analyse de l’existant et choix de la méthode

Exemple d’analyse de couverture des exigences

Méthode Synthèse des principaux écarts identifiés
Standard (en complément des écarts identifiés au sein de la méthode de Base)

Thème 1 : Respect de la méthode de Base Thème 2 : Environnement de gestion

• Voir synthèse des principaux écarts pages précédentes • Pas de Fonction de gestion des risques opérationnels
• Absence de contrôle de la Direction Générale sur la mise en place d’un
dispositif de gestion des risques opérationnels concernant son application, son
efficience et la pertinence des contrôles effectués

Thème 3 :Identification et mesure Thème 4 : Outil de pilotage et Collecte des Incidents

• Pas d’identification, ni de mesure du risque opérationnel par produit, activité, • Pas de collecte, ni d’historisation des incidents
processus • Les données de perte devront être associées à ces incidents
• Pas d’évaluation périodique du processus d’identification et de mesure • Les indicateurs (de perte ou d’alerte) ne sont pas identifiés

• Pas d’estimation des impacts des risques opérationnels sur la solvabilité de • Un reporting au Senior Management et à la Direction Générale devra être
l’entreprise, intégrant les événements à faible probabilité et à impact élevé effectué sur la base de ces données

Page 101
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Sommaire
Introduction : de Bâle I à Bâle II

1. Définition du risque opérationnel

1.1. Présentation de Bâle II
1.2. Typologie des risques selon Bâle II
1.3. Enjeux et challenge pour les banques

2. Gestion du risque opérationnel

2.1. Présentation du contrôle interne
2.2. Mesure et sélection du risque opérationnel
2.3. Documentation des procédures, cartographie des processus et élaboration de reporting
2.4. « Sound practices » selon le Comité de Bâle

3. Présentation des méthodes selon Bâle 2

3.1. Évaluation des besoins en capital
3.2. Principales exigences par méthode
3.3. Avantages et inconvénients de chaque méthode

4. Mise en application
4.1. Analyse de l’existant et choix de la méthode
4.2. Plan d’action
4.3 Exemple de mise en application

Conclusion : Facteurs clés de succès

Page 102
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Mise en application :
Plan d’actions

Méthode Phases du projet Risque Opérationnel - Bâle II

Base 1 2 3
Elaboration de la Mise en
Analyse de l’existant solution cible risque
& Choix de la œuvre
opérationnel
méthode

Étapes de travail de la deuxième phase

Risque opérationnel
Projet Risque Opérationnel
1a
Elaboration de la Stratégie et
identification du dispositif de
gestion des risques opérationnels
Identification des
Lancement

écarts

Elaboration des méthodologies

Conduite de Projet
Phase effectuée

Phases à effectuer

Page 103
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Mise en application :
Plan d’actions
Domaines Méthodes Phases Thèmes Commentaires
Etapes Actions à mener
Risque Méthode Phase 2 : Elaboration de la cible
Méthode Opérationnel Base
Base
Stratégie Elaboration de la stratégie de gestion du risque Stratégie alignée avec la stratégie business
opérationnel
Définition du dispositif de gestion Identification des Rôles et Responsabilités liés à Identification du modèle de gestion des risques
des risques opérationnels la gestion des risques opérationnels opérationnels et des intervenants clés
Identification des processus de gestion du risque Exemples :
opérationnel Reporting DG, Reporting Senior Management,
pilotage de la gestion des risques opérationnels

Elaboration des méthodologies de Définition du risque opérationnel Cette définition peut être plus large mais doit être
gestion du Risque Opérationnel alignée avec Bâle II (ex : possibilité d'inclure le
risque de réputation)
Elaboration d'une typologie risque opérationnel La typologie peut être plus large - peut inclure par
exemple le risque de réputation qui est exclu dans
Bâle II - mais doit être alignée avec les exigences
de l'Accord
Elaboration du référentiel des processus Référentiel des processus de l'ensemble de la
structure (e.g. opérationnels, fonctionnels, risque)

Elaboration et choix de la méthodologie d'auto- Identification de la démarche à suivre

évaluation
Identification et choix de la méthodologie de Identification de la démarche à suivre
cartographie des risques opérationnels
Gestion de projet Lancement Identifciation des interlocuteurs clé pour
l'ensemble des travaux à engager dans la phase
d'élaboration de la cible.
Séminaire de lancement des travaux Risque de
crédit
Documents pour validation par la Commission Elaboration d'un document de présentation des
Bancaire des options retenues options retenues, pour la gestion du risque
opérationnel selon les exigences de Bâle II, au
régulateur
Gestion de projet Cadrage, organisation projet, démarche, planning

Page 104
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Mise en application :
Plan d’actions

Phases du projet Risque Opérationnel - Bâle II

Méthode 1 2 3
Base
Elaboration de la Mise en
Analyse de l’existant
solution cible risque œuvre
& Choix de la
opérationnel
méthode

Étapes de travail de la troisième phase

Risque opérationnel
1a
Projet Risque opérationnel
Le plan d ’action détaillé
devra être réalisé à l ’issue
de la phase d élaboration Mise en place du dispositif de
de la cible gestion des risques
opérationnels

Formalisation processus, élaboration cartographie des RO, Auto-

évaluation

Conduite du changement

Phase effectuée
Conduite de Projet
Phases à effectuer

Page 105
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Mise en application :
Plan d’actions

Méthode Phases du projet Risque Opérationnel - Bâle II

Standard 1 2 3
Elaboration de la Mise en
Analyse de l’existant solution cible risque
& Choix de la œuvre
opérationnel
méthode

Étapes de travail de la deuxième phase

Risque
Projet 1aopérationnel
Risque Opérationnel
Elaboration de la
Stratégie Définition architecture
fonctionnelle et technique cible
Identification des
Définition Outil collecte
écarts
Organisation Cible
Risque Choix
Lancement

Opérationnel Outil

Elaboration des méthodologies

Phase effectuée
Conduite de Projet
Phases à effectuer

Page 106
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Mise en application :
Plan d’actions
Méthodes Phases Thèmes Commentaires
Etapes Actions à mener
Méthode Phase 2 : Elaboration de la cible
Méthode Standard

Standard Stratégie Elaboration de la stratégie de gestion du risque Stratégie alignée avec la stratégie business
opérationnel
Organisation Risque Opérationnel Définition des Rôles et Responsabilités (notamment Incluant l'Audit et les fonctions de risques opérationnels
fonction Risk Management) décentralisés.
Identification des rôles et responsabilités pour :
- La Fonction Centrale de gestion des risques opérationnels
- Les fonctions décentralisées de gestion des risques
opérationnels (ex : DSI, Gestion des RH, Services généraux)
- L'Audit

Elaboration du référentiel des processus de gestion du Exemples :

risque opérationnel Reporting DG, Reporting Senior Management, collecte des
incidents, collecte des indicateurs, pilotage de la gestion des
risques opérationnels
Elaboration du Modèle opérationnel global de gestion Description du fonctionnement global de gestion des risques
des risques opérationnels opérationnels
Elaboration des méthodologies de Définition du risque opérationnel Cette définition peut être plus large mais doit être alignée
gestion du Risque Opérationnel avec Bâle II.

Elaboration d'une typologie risque opérationnel La typologie peut être plus large - peut inclure par exemple le
risque de réputation qui est exclu dans Bâle II - mais doit être
alignée avec les exigences de l'Accord

Elaboration du référentiel des processus Référentiel des processus de l'ensemble de la structure (e.g.
opérationnels, fonctionnels, risque)

Identification des indicateurs RO clé Identification des indicateurs pertinents de suivi des risques
opérationnels pour l'ensemble des processus identifiés

Elaboration et choix de la méthodologie d'auto- Identification de la démarche à suivre

évaluation
Identification et choix de la méthodologie de Identification de la démarche à suivre
cartographie des risques opérationnels

Page 107
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Mise en application :
Plan d’actions

Méthode
Standard
Méthodes Phases Thèmes Commentaires
Etapes Actions à mener
Méthode Architectures fonctionnelle et Définition des fonctionnalités de l'outil de collecte Identification des fonctionnalités clé de l'outil cible
Standard technique cible de l'outil de collecte

Elaboration de l'architecture technique cible Définir l'intégration du futur outil à l'environnement

informatique et organisationnel
Pré-sélection et choix de l'outil Analyses des outils du marché (utilisation de Benchmarks
existants)
Gestion de projet Lancement Identifciation des interlocuteurs clé pour l'ensemble des
travaux à engager dans la phase d'élaboration de la cible.
Séminaire de lancement des travaux Risque de crédit
Documents pour validation par la Commission Bancaire Elaboration d'un document de présentation des options
des options retenues retenues pour la gestion du risque opérationnel selon les
exigences de Bâle II, au régulateur

Gestion de projet Cadrage, organisation projet, démarche, planning

TOTAL Phase 2

Page 108
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Mise en application :
Plan d’actions

Phases du projet Risque Opérationnel - Bâle II

Méthode
Standard 1 2 3

Analyse de l’existant Élaboration de la Mise en

& Choix de la solution cible risque œuvre
méthode opérationnel

Etapes de travail de la troisième phase

Risque opérationnel
Projet Risque opérationnel
1a
Mise en placeIdentification des
Organisation Risque
Opérationnel cible écarts

Spécifications Collecte des risques

détaillées outil de Réalisation opérationnels
collecte (processus évolutif)

Formalisation processus, élaboration cartographie des RO, Auto-évaluation

Phase effectuée
Change Management
Phases à effectuer
Conduite de Projet

Page 109
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Mise en application :
Plan d’actions

Méthode
Standard
Méthodes Phases Thèmes
Etapes Actions à mener
Méthode Phase 3 : Mise en œuvre
Standard

Mise en place de l'organisation cible de gestion du risque opérationnel

Formalisation des processus Risque Opérationnel
Description des postes
Spécification détaillées et réalisation outil de collecte
Spécifications fonctionnelles et techniques détaillées
Réalisation et paramétrage
Test et Recette
Formalisation processus et cartographie
Formalisation des processus métiers
Cartographie

Auto-évaluation
Gestion de projet
Change management (communication, rh, assistance au
management, aide au pilotage)
Gestion de projet
TOTAL Phase 3

Page 110
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Mise en application :
Plan d’actions

Illustration d’un environnement cible de gestion des risques opérationnels (3 niveaux de contrôles)
intégrant la fonction de Gestion des risques
Méthode Conseil d’administration / Comité Exécutif / Comité de Risque
Standard

Fonctions risques Fonction Centrale

Directions métiers Audit Interne
décentralisées de Gestion Risque
Reporting Risque Management

•Management des • Risques RH Resp. Audit Interne

lignes métiers Resp. Risque
• Risque juridique
opérationnel
• Risque
•Managers des Informatique
opérationnels
• Sécurité Physique
•…
Équipe Audit Interne

Gestion du risque au jour le jour Cadre de mise en place et de Contrôle et évaluation

dans l’exercice des activités supervision de la stratégie et de la indépendants du dispositif
métiers et support politique de gestion des risques de gestion des risques

Niveaux de contrôle 1 2 3
Niveau de contrôle existant

Niveau de contrôle aujourd’hui inexistant

Page 111
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Mise en application :
Plan d’actions

Méthode Illustration des principes clés de la Fonction de gestion des risques

Standard

• Articuler la stratégie de risque

• Identifier et communiquer les principes non négociables
Stratégie
• Evaluer la culture risque actuelle
• Traiter le risque par une planification stratégique

• Etablir un processus pertinent d’identification du risque

• Capitaliser sur les techniques de gestion du risque déjà existant
Méthodologie • Assurer une flexibilité sur l’implémentation de la gestion du risque dans
les processus métier
• Assurer une participation à tous les niveaux de l’organisation
• Utiliser des méthodes d’auto-évaluation et des métriques de risque

• Communiquer fréquemment sur les problématiques risque

• Utiliser des comités de Risk Management, exploiter les compétences
des experts et des consultants
Infrastructure
• Former sur le risque et sur les outils de gestion du risque
• Tenir compte de la gestion du risque dans les processus de gestion des
ressources humaines (rémunération)

Page 112
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Sommaire
Introduction : de Bâle I à Bâle II

1. Définition du risque opérationnel

1.1. Présentation de Bâle II
1.2. Typologie des risques selon Bâle II
1.3. Enjeux et challenge pour les banques

2. Gestion du risque opérationnel

2.1. Présentation du contrôle interne
2.2. Mesure et sélection du risque opérationnel
2.3. Documentation des procédures, cartographie des processus et élaboration de reporting
2.4. « Sound practices » selon le Comité de Bâle

3. Présentation des méthodes selon Bâle 2

3.1. Évaluation des besoins en capital
3.2. Principales exigences par méthode
3.3. Avantages et inconvénients de chaque méthode

4. Mise en application
4.1. Analyse de l’existant et choix de la méthode
4.2. Plan d’action
4.3 Exemple de mise en application

Conclusion : Facteurs clés de succès

Page 113
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Exemple de mise en application : méthode standard

q Une démarche qui repose sur:

ü Un environnement sensibilisée à la gestion du risque : procédures, circulaires
accessibles facilement (Intranet), ensemble de règles définissant les principes généraux
de la banque
ü Une structure dédiée à la gestion du risque opérationnel :
– création d’une structure spécifique dédiée relayée par des « operational risk
managers » (ORM) par métier et/ou par filiales.
– Implication soutenue du management : Comité projet Bâle 2, Comité des risques,
Comité d’audit, Comité Technique…

Page 114
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Exemple de mise en application : méthode standard

3 phases essentielles :

q Phase 1 : Recensement des risques opérationnels

q Phase 2 : Identification des risques majeurs
q Phase 3 : Déclaration de pertes

Page 115
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Exemple de mise en application : méthode standard

q Phase 1 : Recensement des risques opérationnels

ü Formation des ORM à la méthodologie, questionnaire et grilles de cotations.

ü Support standard pour l’ensemble des direction :

– Check list détaillée des risques selon les 4 catégories définies par le Comité de
Bâle : Procédures, Personnel, Systèmes, Facteurs extérieurs.
– Ventilation de ces risques en une vingtaine évènements de risques (sous-catégorie
de niveau 2 de la nomenclature d’évènements de Bâle 2) et d’une centaine de sous
rubrique.

Page 116
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Exemple de mise en application : méthode standard

q Phase 1 : Recensement des risques opérationnels

ü Questionnaire standard à remplir pour chaque “ORM”par direction:
– Recenser les risques opérationnels
– Libeller ces risques et les classer
– Effectuer la cotation en fonction de la probabilité, l’impact, l’exposition
– Déterminer le niveau de criticité du risque en fonction de la grille de cotation
– Mentionner les autres directions impactées par les risques recensés

Page 117
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Exemple de mise en application : méthode standard

q Cotation du risque opérationnel :

ü La cotation repose sur l’évaluation de chaque risque identifié en fonction de :

– la probabilité (fréquence) de survenance : Note de 1 à 5 Le produit des 2

notes donne le
– l’impact : Note de 1 à 5 score

– l’exposition après prise en compte des procédures existantes de limitation : Note

de 1 à 5

Page 118
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Exemple de mise en application : méthode standard

q Cotation du risque opérationnel :

Probabilité Impact Pertes en K€

Rare 1 Non significatif 1
Peu probable 2 Mineur 2
Fréquent 3 Modéré 3
Très probable 4 Important 4
Prévu 5 Majeur 5

Procédures
Exposition Efficacité Changement Contrôle Imprévu
/Tests
Rôles et responsabilités
Procédures Plans de continuité
Mineure 1 Tests approfondis Etat stable définis / séparation des
approfondies d'activité
fonctions

Limitée 2

Moyenne 3

Significative 4

Supports non Pas de plans de continuité

Majeur 5 Pas de procédures
utilisés
Changement rapide Pas de contrôle
d'activité

Page 119
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Exemple de mise en application : méthode standard

q Phase 2 : Identification des risques majeurs :

ü L’identification des risques se fait par croisement du score avec l’exposition
ü Les risques sont hiérarchisées ce qui permet une identification des risques majeurs

Exposition
1 2 3 4 5
> 10 Risque très élevé
8 à 10 Risque élévé
Score

5à7 Risque moyen

3à4 Risque faible
0à2

Page 120
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Exemple de mise en application : méthode standard

q Fiche récapitulative remplies par les « ORM » pour chaque risque majeurs
(risques élevés et très élevés) avec les informations suivantes
ü Énoncé du risque
ü Cause et événement
ü Justification de la cotation
ü Plan d’action proposée
ü Responsable concernée
ü Planning de réalisation du plan d’action
ü Indicateurs de mesure d’exposition au risque
q Ces fiches sont présentés au Comité des risques opérationnels (présence de la
Direction Générale) et validées.

Page 121
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Exemple de mise en application : méthode standard

q Regroupement et consolidation des risques par métiers et/ou entités pour

recenser les risques transversaux
q Cotation des risques au niveau consolidé
Remarque : la cotation du même risque au niveau consolidé peut être différente
de celle prise par les différents services. Il existe par conséquent des degrés de
risques consolidés et des degrés de risques spécifiques.

Page 122
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Exemple de mise en application : méthode standard

q Base de déclaration des pertes :

ü Déclaration des pertes liés à la survenance du risque opérationnel au delà d’un certain
seuil.
ü Reporting trimestriel par famille de risques, types d’évènements selon Bâle II, par
catégories avec les comptes impactés par les pertes.
q Revue annuelle exhaustive des risques identifiés qui repose sur :
ü un suivi trimestriel
§ des pertes avérés
§ de la réalisation des plans d’action
§ de l’évolution des indicateurs de risque
ü une informatisation intégrée du processus d’identification de risques et de déclaration
de pertes

Page 123
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Sommaire
Introduction : de Bâle I à Bâle II

1. Définition du risque opérationnel

1.1. Présentation de Bâle II
1.2. Typologie des risques selon Bâle II
1.3. Enjeux et challenge pour les banques

2. Gestion du risque opérationnel

2.1. Présentation du contrôle interne
2.2. Mesure et sélection du risque opérationnel
2.3. Documentation des procédures, cartographie des processus et élaboration de reporting
2.4. « Sound practices » selon le Comité de Bâle

3. Présentation des méthodes selon Bâle 2

3.1. Évaluation des besoins en capital
3.2. Principales exigences par méthode
3.3. Avantages et inconvénients de chaque méthode

4. Mise en application
4.1. Analyse de l’existant et choix de la méthode
4.2. Plan d’action
4.3 Exemple de mise en application

Conclusion : Facteurs clés de succès

Page 124
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004
Conclusion :
Facteurs Clés de Succès

q L’approche retenue face aux risques opérationnels dépendra de la taille de l’établissement,

sa sophistication et la nature et complexité de ces activités.

q Facteurs clés de succès d’une gestion des risques opérationnels efficace :

ü Vision et stratégie claire de la direction générale et du senior management,
ü Forte culture des risques opérationnels (définie comme une combinaison des : valeurs
de l’entreprise et des individus, attitudes, compétences et comportements déterminant
le style de gestion des risques opérationnels de l’entreprise)
ü Culture de contrôle interne, incluant un organigramme clair en matière de
responsabilités et séparation des tâches,
ü Reporting interne efficace,
ü Plan de continuité

Page 125
kpmg
 Rencontres WTCA / KPMG du 7-8 décembre 2004

Questions ?

Page 126
kpmg