Données de marché, streaming, BI et gouvernance des données : audit, conseil, formation et assistance technique pour la finance de marché

Cadre de référence de l'agrégation et de la qualité des données

Les principes BCBS 239

Le Comité de Bâle sur le contrôle bancaire a publié en janvier 2013 ses principes pour une agrégation efficace des données sur les risques et une déclaration efficace des risques, dits BCBS 239. Ils comptent quatorze principes, dont onze s'adressent aux banques et trois aux superviseurs. Ils couvrent la gouvernance et l'architecture, les capacités d'agrégation (exactitude et intégrité, exhaustivité, rapidité, adaptabilité), les pratiques de déclaration des risques et le contrôle prudentiel. L'échéance de mise en œuvre était le 1er janvier 2016 pour les banques d'importance systémique mondiale ; pour les autres établissements d'importance systémique, le Comité recommandait une application trois ans après leur désignation.

Ces principes concernent les banques. Pourtant, la logique qu'ils décrivent sert de référence à d'autres acteurs : une société de gestion qui doit expliquer d'où vient un chiffre de risque, un dépositaire qui consolide des positions, une infrastructure de marché qui produit des statistiques. Nous les utilisons comme grille de lecture, jamais comme une obligation que nous imposerions à une entité qui n'y est pas soumise.

Le guide de la BCE de mai 2024

La BCE a publié en mai 2024 son guide sur l'agrégation efficace des données de risque et la déclaration des risques. Elle y rappelle que sa revue thématique de 2016 sur un échantillon de 25 établissements importants a conclu qu'aucun n'appliquait pleinement les principes BCBS 239, qu'une lettre de 2019 leur demandait des améliorations rapides et que les progrès restaient jugés insuffisants. Le guide recommande vivement aux établissements importants d'avancer et identifie sept domaines de préoccupation : responsabilités de l'organe de direction, périmètre d'application suffisant, cadre de gouvernance des données efficace, architecture de données intégrée, gestion et normes de qualité des données à l'échelle du groupe, rapidité de la déclaration interne des risques et programmes de mise en œuvre effectifs.

La BCE applique le principe de proportionnalité. Le guide s'adresse aux établissements importants qu'elle supervise directement. Pour une société de gestion ou un acteur de taille moyenne, le même raisonnement se traduit par un dispositif plus léger : quelques données critiques identifiées, un propriétaire par donnée, des contrôles de qualité aux points sensibles, un lignage documenté pour les indicateurs qui vont à la direction ou au superviseur.

Déclarations réglementaires et données de marché

Les déclarations de transactions et de dérivés (MiFIR, règlement (UE) n° 600/2014, et EMIR, règlement (UE) n° 648/2012) et le reporting prudentiel (COREP et FINREP pour les banques) reposent sur des référentiels d'instruments et de contreparties qui doivent être justes et à jour. Les identifiants normalisés, comme le LEI (Legal Entity Identifier, identifiant d'entité juridique) pour les entités juridiques (ISO 17442) et l'ISIN (International Securities Identification Number, code international d'identification des valeurs mobilières) pour les titres (ISO 6166), facilitent la réconciliation mais ne dispensent pas d'un contrôle de cohérence des données qui les accompagnent. La révision de MiFID II (Markets in Financial Instruments Directive II, directive 2014/65/UE sur les marchés d'instruments financiers) et de MiFIR (Markets in Financial Instruments Regulation, règlement sur les marchés d'instruments financiers) de 2024 (directive (UE) 2024/790, règlement (UE) 2024/791) organise par ailleurs la trace consolidée et revoit la transparence des marchés : elle touche à la manière dont les données de marché sont produites, distribuées et facturées.

Données personnelles, données industrielles et prestataires

RGPD, registre des traitements et qualité

Dès qu'un jeu de données contient des informations sur des personnes (clients, investisseurs, salariés, représentants légaux), le RGPD, règlement (UE) 2016/679, s'applique. Parmi ses principes figurent la minimisation, l'exactitude et la limitation de la conservation. Les responsables de traitement tiennent un registre des activités de traitement, réalisent une analyse d'impact lorsque le risque est élevé et notifient à la CNIL (Commission nationale de l'informatique et des libertés) une violation de données dans les 72 heures lorsque les conditions sont réunies. Un catalogue de données bien tenu aide à répondre à ces obligations, car il indique où se trouvent les données personnelles et qui en répond. Il ne les remplace pas : le registre et l'analyse d'impact restent des documents de l'entité, que le délégué à la protection des données suit.

La CNIL a également publié des recommandations sur l'IA et le RGPD qui touchent les jeux de données utilisés pour entraîner des modèles : finalité, information des personnes, conservation. Une plateforme data qui alimente à la fois le reporting et les modèles doit en tenir compte dès la conception.

Le règlement sur les données (Data Act)

Le règlement (UE) 2023/2854, dit Data Act, est applicable depuis le 12 septembre 2025. Il porte notamment sur l'accès et le partage des données générées par les produits connectés et sur la possibilité de changer de fournisseur de services de traitement de données, dont les services d'informatique en nuage. Pour une équipe qui choisit une plateforme de données, l'intérêt est pratique : les conditions de sortie, la portabilité des données et les frais éventuels de changement de fournisseur se vérifient avant la signature, pas au moment de partir. Les modalités d'application évoluent encore : nous ne les présentons pas comme une obligation générale des acteurs financiers.

DORA et plateformes hébergées

Depuis le 17 janvier 2025, le règlement (UE) 2022/2554 (DORA) impose aux entités financières de maîtriser le risque lié aux systèmes d'information, y compris celui des prestataires tiers de services TIC (technologies de l'information et de la communication) : registre des accords, évaluation avant contrat, clauses contractuelles de l'article 30, stratégie de sortie pour les fonctions critiques ou importantes. Les fournisseurs de plateformes de données, d'entrepôts et d'outils de BI (Business Intelligence, informatique décisionnelle) hébergés relèvent de cette logique. Les sociétés de gestion, les banques, les entreprises d'investissement, les dépositaires centraux et les contreparties centrales figurent parmi les entités visées ; le détail de la liste se lit dans le règlement. Un projet de migration de données est donc aussi un projet de contrat, de registre et de plan de réversibilité.

Gouvernance, qualité et pilotage par la donnée

Rôles et responsabilités

Une gouvernance fonctionne quand chaque donnée critique a un propriétaire connu. Le propriétaire de la donnée, côté métier, en définit le sens et les règles de qualité. Le responsable de la donnée ou data steward en assure le suivi quotidien : anomalies, corrections, mise à jour du catalogue. L'équipe technique opère les pipelines et les droits d'accès. La fonction de contrôle des risques utilise ces données et signale ses besoins. Le délégué à la protection des données veille au volet personnel, le responsable de la sécurité des systèmes d'information à la protection. Pour les établissements concernés, le guide de la BCE place la responsabilité finale à l'organe de direction, qui doit comprendre et approuver le cadre.

La difficulté tient moins aux organigrammes qu'aux décisions : qui tranche quand deux services donnent des définitions différentes d'un même indicateur, à quel rythme les écarts remontent-ils, comment les arbitrages sont-ils conservés ? Un comité qui se réunit à intervalles réguliers et dont les décisions sont écrites vaut mieux qu'une charte de gouvernance non appliquée.

Qualité, lignage et données de référence

Les principes BCBS 239 parlent d'exactitude, d'intégrité, d'exhaustivité, de rapidité et d'adaptabilité. Ces dimensions se traduisent en contrôles concrets : complétude des champs obligatoires, cohérence entre sources, fraîcheur d'une cotation, rapprochement entre un total de reporting et ses détails. Des outils de contrôle de la qualité (Great Expectations, Soda, fonctionnalités des plateformes de gouvernance) automatisent ces règles ; ils ne remplacent pas leur rédaction avec les métiers. La gestion des données de référence (MDM) vise un enregistrement de confiance pour les instruments, les contreparties et les comptes, utilisé par tous les services au lieu de copies divergentes.

Le lignage des données, c'est-à-dire la capacité de retracer un chiffre jusqu'à sa source et ses transformations, est la preuve qui manque le plus souvent lors d'un contrôle ou d'un audit interne. Il se construit par la documentation des pipelines et par un catalogue (Collibra, Alation, Purview, DataGalaxy figurent parmi les outils du thème), mais surtout par la discipline de ne pas contourner les pipelines par des fichiers intermédiaires.

Flux en continu et décisionnel

Les traitements en flux (Kafka, Flink) servent à diffuser des cotations, à surveiller des limites ou à alimenter des indicateurs au fil de l'eau ; les entrepôts et plateformes analytiques (Snowflake, Databricks, BigQuery, Microsoft Fabric) consolident l'historique ; les outils de BI (Power BI, Tableau, Qlik Sense) le restituent. Chaque choix a un coût et une exigence de maintenance. Le temps réel n'est pas toujours utile : un tableau de bord de contrôle quotidien peut se satisfaire d'un traitement par lots fiable, alors qu'un suivi de limites intrajournalier justifiera le flux. Nous citons ces outils comme ceux des thèmes, sans préférence.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Nous auditons le patrimoine de données et la qualité des reportings, en suivant une donnée de sa source à son usage. Nous conseillons sur l'architecture, la gouvernance et les données de marché. Nous concevons des modèles de données, des pipelines et des tableaux de bord sur des données publiques ou de test. Nous déployons ou migrons des plateformes, avec une reprise de données contrôlée. Nous apportons une assistance technique sous la responsabilité et l'encadrement d'Optédif, avec des livrables définis, au forfait ou en récurrent. Nous formons les équipes en intra-entreprise.

Ce que nous ne faisons pas

• Nous n'exerçons aucune activité réglementée : ni conseil en investissement, ni gestion de portefeuille pour compte de tiers, ni intermédiation.
• Nous n'attestons ni la conformité aux principes BCBS 239 ou au guide de la BCE, ni la qualité des données d'une entité : nos constats ne préjugent d'aucune décision d'une autorité.
• Nous n'accédons ni aux ordres, ni aux positions, ni aux informations non publiques : nos exemples utilisent des données publiques ou de test.
• Nous ne tenons pas le registre des traitements, nous ne désignons pas de délégué à la protection des données et nous ne déclarons aucune violation de données à votre place.
• Nous ne délivrons aucune certification, et nos formations ne valent pas examen ni certification d'un tiers.

Sources officielles

Pour vérifier les textes, consultez les sources de référence : les principes BCBS 239 sur le site de la Banque des règlements internationaux, le guide de la BCE de mai 2024, le texte du règlement DORA et les publications de la CNIL. Cette page décrit un cadre : elle ne constitue ni une consultation juridique, ni une attestation de conformité, et toute décision qui s'en inspire doit être relue par un spécialiste du droit financier et de la protection des données.