Risques financiers, Bâle III, Solvabilité II et reporting prudentiel : audit, conseil, formation et assistance technique pour la finance de marché

Cadre prudentiel des banques, des entreprises d'investissement et des gérants

CRR3, CRD VI et le calendrier de Bâle III dans l'Union

Dans l'Union européenne, Bâle III s'applique aux banques par le règlement (UE) n° 575/2013 (CRR), modifié par le règlement (UE) 2024/1623 dit CRR3 (troisième version du règlement sur les exigences de fonds propres (Capital Requirements Regulation)), et par la directive 2013/36/UE (CRD), modifiée par la directive (UE) 2024/1619 dite CRD (Capital Requirements Directive, directive sur les exigences de fonds propres) VI. Le CRR3 s'applique pour l'essentiel depuis le 1er janvier 2025, et la Commission européenne fixe au 10 janvier 2026 le délai de transposition de la CRD VI. L'expression « Bâle IV » est un usage de marché, non un texte. Le plancher de fonds propres (output floor), fixé à 72,5 % des exigences calculées avec les approches standard, s'introduit progressivement par des dispositions transitoires.

Le volet le plus mouvant concerne le risque de marché, c'est-à-dire la révision fondamentale du portefeuille de négociation (FRTB). Le règlement délégué (UE) 2025/1496 en a reporté l'application au 1er janvier 2027. Le 4 juin 2026, la Commission a ensuite adopté un acte délégué, présenté sur sa page d'actualité : il ajoute des allègements opérationnels ciblés et un multiplicateur, applicables du 1er janvier 2027 pour trois ans. Cet acte est soumis à un examen de trois mois, prolongeable de trois mois, par le Conseil et le Parlement européen ; faute d'opposition, il s'appliquera au 1er janvier 2027. À la date de rédaction, il convient donc de le présenter au conditionnel et de suivre son adoption. D'ici là, les établissements continuent d'appliquer le cadre du CRR (Capital Requirements Regulation, règlement sur les exigences de fonds propres) relatif au risque de marché dans sa version antérieure à FRTB et de remettre les états correspondants, ce qui oblige les équipes à faire coexister deux chaînes de calcul pendant la transition.

Entreprises d'investissement et sociétés de gestion

Les entreprises d'investissement ne relèvent plus du CRR pour l'essentiel : le règlement (UE) 2019/2033 (IFR) et la directive (UE) 2019/2034 (IFD) forment leur régime prudentiel propre, applicable depuis le 26 juin 2021, comme l'indique l'ACPR. Le régime distingue plusieurs classes d'entreprises selon leur taille et leurs activités, les plus importantes étant traitées comme des établissements de crédit. Les exigences de fonds propres, de liquidité et de gouvernance varient donc d'une entreprise à l'autre, et le premier travail d'un audit ou d'un conseil consiste à établir dans quelle classe se trouve l'entité et quels états elle doit remettre.

Les sociétés de gestion de portefeuille n'ont pas d'exigence de ratio de solvabilité de même nature, mais elles doivent disposer d'une fonction permanente de gestion des risques, indépendante des équipes opérationnelles, en application des directives OPCVM (2009/65/CE) et AIFM (2011/61/UE) et du livre III du règlement général de l'AMF. L'AMF a publié un guide relatif à l'organisation du dispositif de maîtrise des risques au sein des sociétés de gestion de portefeuille. Pour un prestataire, la première question d'une mission est toujours la même : quel régime s'applique à l'entité, et donc quel référentiel sert de base.

Gouvernance des risques, trois lignes et données de risque

L'arrêté du 3 novembre 2014 relatif au contrôle interne, consultable sur Légifrance, répartit le contrôle en trois niveaux (article 12) et prévoit que la fonction de gestion des risques participe activement à l'élaboration de la stratégie de l'établissement en matière de risques. Les orientations de l'EBA sur la gouvernance interne (EBA/GL/2021/05, du 2 juillet 2021) précisent que la fonction de gestion des risques a l'autorité, le statut et les ressources nécessaires et que son responsable est un cadre dirigeant indépendant.

La qualité des données est devenue un sujet de supervision à part entière. Les principes BCBS 239, publiés par le Comité de Bâle en janvier 2013, fixent onze principes d'agrégation des données de risque et de reporting. Le guide de la BCE du 3 mai 2024 sur l'agrégation des données de risque et le reporting précise les attentes de supervision sans créer d'exigence nouvelle, et se lit avec ces principes. L'enjeu pratique est de savoir, pour chaque indicateur présenté à un comité, d'où vient la donnée, qui la contrôle et quand elle a été validée.

Les rôles se répartissent ainsi. L'organe de direction arrête la stratégie de risque et répond du dispositif. Le directeur des risques anime la deuxième ligne, indépendante des métiers, et rend compte au comité des risques. Les équipes opérationnelles, en première ligne, identifient et traitent les risques de leurs activités dans le cadre des limites. L'audit interne contrôle l'ensemble. Une entité qui confie la production d'un état ou l'exploitation d'un outil à un tiers reste entièrement responsable de ses obligations, ce qui impose une revue de ses prestataires et un suivi de leurs livrables.

Reporting prudentiel et Solvabilité II

COREP, FINREP et cadre de reporting de l'EBA

Les états COREP (fonds propres, grands risques, liquidité, levier) et FINREP (information financière) reposent sur des normes techniques d'exécution. Le règlement d'exécution (UE) 2024/3117 du 29 novembre 2024 remplace le règlement d'exécution (UE) 2021/451, certaines dispositions sur le risque de marché restant applicables jusqu'au 31 décembre 2026 selon un acte de la Commission du 8 décembre 2025. L'EBA publie ensuite des versions successives de son cadre de reporting : sa page dédiée liste les versions 4.3 et 4.4, attendues au troisième trimestre 2026, avec des dates d'application propres à chaque module à partir de décembre 2026 puis de septembre 2027, de façon provisoire.

Pour une équipe de reporting, cette succession de versions exige une chaîne de production capable d'absorber les changements : rapprochement comptable, contrôles de cohérence entre états, gestion des retraitements manuels, piste d'audit. L'ACPR et la BCE (Banque centrale européenne) attendent des états remis dans les délais, et c'est la direction de l'entité qui les valide.

Solvabilité II révisée, investisseurs institutionnels et gérants

La directive 2009/138/CE (Solvabilité II) est modifiée par la directive (UE) 2025/2. Selon l'EIOPA, les nouvelles règles prennent effet le 30 janvier 2027 ; l'autorité a publié en juillet 2026 les derniers instruments qui lui étaient demandés au titre de la révision. Ce thème figure ici parce qu'il vise explicitement les assureurs en tant qu'investisseurs institutionnels : ces derniers demandent à leurs gérants délégués des données de portefeuille détaillées pour calculer leurs exigences et alimenter leurs états. Les assurances et le courtage ont leurs propres sites chez Optédif.

Pour une société de gestion, l'enjeu consiste à fournir ces données dans un format stable, avec un calendrier et des contrôles de qualité convenus avec le client. Pour un investisseur institutionnel, il consiste à relier ses états aux sources et à maîtriser les évolutions du cadre. Dans les deux cas, ce sont des questions d'organisation et de données plus que de calcul. Le cadre de Solvabilité II repose sur trois piliers : les exigences quantitatives, la gouvernance avec l'évaluation interne des risques et de la solvabilité (ORSA), puis l'information du superviseur et du public. Le troisième pilier fixe le reporting et la publication ; c'est celui qui sollicite le plus les données des gérants.

Pilotage du risque et outils

Appétence au risque, limites et stress tests

Le pilotage du risque s'appuie sur un cadre d'appétence qui se décline en indicateurs et en limites, avec une chaîne d'escalade quand une limite est dépassée. Un stress test éclaire la sensibilité d'un portefeuille ou d'un bilan à un scénario ; il ne prévoit rien. Sa valeur dépend de la qualité de la documentation : hypothèses, source des chocs, contrôles de cohérence, version utilisée, personne qui a validé les paramètres. Un stress test que personne ne sait refaire à l'identique le trimestre suivant n'est pas exploitable dans un comité. Les thèmes de gestion des risques organisationnels couvrent aussi le risque opérationnel et la continuité d'activité, qui rejoignent le règlement DORA (Digital Operational Resilience Act, règlement sur la résilience opérationnelle numérique du secteur financier) pour la partie informatique.

Le thème « Risk management, audit financier et contrôle interne » mêle des notions que la loi distingue : l'audit légal des comptes relève des commissaires aux comptes, le contrôle périodique d'une entité de son audit interne. Nous formons à ces notions et nous aidons à articuler les rôles, mais nous n'exerçons aucune de ces missions.

Logiciels de gestion des risques

SAP Risk Management, SAP Risk and Assurance Management et OpenText Command Center Risk Monitor (Active Risk Monitor) sont cités comme outils de thèmes du domaine, sans préférence. Ils servent à tenir un registre des risques, à suivre des contrôles et des plans d'actions, à produire des tableaux de bord. Leur valeur dépend de la rigueur des référentiels (taxonomie des risques, échelles de cotation) et de l'implication des équipes qui renseignent les données : un outil déployé sans règles écrites ni propriétaire de chaque donnée reproduit les défauts des tableurs qu'il remplace.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Nous revoyons des dispositifs de gestion des risques et des chaînes de production d'états, en suivant le chemin réel d'une donnée. Nous conseillons sur la méthode, l'appétence, l'organisation de la filière et le calendrier réglementaire, sous la forme de cartographies d'exigences. Nous réalisons des cartographies, des outils de stress test documentés et des sections de dossiers prudentiels que vos responsables valident. Nous accompagnons des directeurs des risques et des équipes de contrôle permanent sur plusieurs mois. Nous apportons une assistance technique sous la responsabilité et l'encadrement d'Optédif, avec des livrables définis, au forfait ou en récurrent ; lorsque le contrat vise une entité financière, les clauses de l'article 30 du règlement DORA peuvent s'appliquer. Nous proposons aussi des formations en intra-entreprise.

Ce que nous ne faisons pas

• Nous n'exerçons aucune activité réglementée : ni conseil en investissement, ni recommandation, ni gestion de portefeuille pour compte de tiers, ni intermédiation, ni notation.
• Nous ne signons, ne validons et ne transmettons aucun état prudentiel ; la responsabilité des remises reste à la direction de l'entité.
• Nous ne validons aucun modèle interne à la place de la fonction indépendante de validation ni du superviseur, et nous ne présentons aucune prévision de résultat.
• Nous n'exerçons ni commissariat aux comptes, ni contrôle permanent ou périodique à la place de l'entité.
• Nous ne traitons ni ordres, ni positions, ni projets d'opération non publics : nos exemples utilisent des données publiques ou de test.
• Nous ne délivrons ni certification, ni agrément ; nos revues n'attestent la solidité de personne et ne préjugent pas de la décision d'une autorité.

Sources officielles

Pour vérifier les textes cités, consultez les sources officielles : la Commission européenne pour le risque de marché, l'EBA pour le reporting, l'EIOPA pour Solvabilité II, l'ACPR pour les entreprises d'investissement et Légifrance pour l'arrêté du 3 novembre 2014.