16.6.2012   

FR

Journal officiel de l'Union européenne

C 173/1

BCE

Banque centrale européenne

BCM

Business Continuity Management (gestion de la continuité des activités)

BCN

Banques centrales nationales

BPH

Business Practice Handbook (manuel des pratiques opérationnelles)

BRI

Banque des règlements internationaux

CRO

Chief Risk Officer (responsable des risques)

D-CO

Direction Communication

DG A

Direction générale Administration

DG H

Direction générale Ressources humaines, budget et organisation

DG IS

Direction générale Systèmes d'information

DG M

Direction générale Opérations de marché

DG P

Direction générale Systèmes de paiement

DG S

Direction générale Statistiques

FOS

Division Services liés aux opérations financières

GIPS

Global Investment Performance Standards (normes internationales de présentation des performances)

IAS

International Accounting Standards (normes comptables internationales)

IASB

International Accounting Standards Board (organisme adoptant des normes comptables internationales)

IFRS

International Financial Reporting Standards (normes internationales d'information financière)

INV

Division Placements

MOS

Division Systèmes des opérations de marché

OFM

Own Funds Management (gestion des fonds propres)

ORC

Operational Risk Committee (comité du risque opérationnel)

ORM

Operational Risk Management (gestion des risques opérationnels)

RMA

Division Gestion des risques (au sein de la DG H)

SEBC

Système européen de banques centrales

VaR

Value at risk (valeur en risque)

1.

La Banque centrale européenne (BCE) et les banques centrales nationales de l'ensemble des États membres de l'Union européenne (UE) constituent le Système européen de banques centrales (SEBC). L'objectif principal du SEBC est de maintenir la stabilité des prix. Le SEBC apporte également son soutien aux politiques économiques générales dans l'UE en vue de contribuer à la réalisation des objectifs de l'Union (1). À cette fin, la BCE s'acquitte des tâches définies dans ses statuts (2) et est responsable de la gestion de ses activités et de ses finances.

2.

L'audit de l'efficience de la gestion de la BCE par la Cour des comptes européenne (ci-après la «Cour») est fondé sur l'article 27, paragraphe 2, du protocole fixant les statuts du SEBC et de la BCE (3). L'audit relatif à 2010 a porté sur les procédures et les systèmes de gestion des risques mis en place par la BCE, ainsi que sur leur application.

3.

Les organes de décision de la BCE sont le conseil des gouverneurs et le directoire (4). Celui-ci met en œuvre la politique monétaire conformément aux orientations et aux décisions arrêtées par le conseil des gouverneurs (5) et assume la responsabilité globale de la gestion des activités courantes de la BCE et de ses ressources. Le directoire est également responsable en dernier ressort de la gestion des risques à la BCE.

4.

La gestion des risques à la BCE est assurée par le biais de deux cadres distincts. L'unité responsable de la gestion des risques opérationnels [ORM (6)/BCM] couvre l'ensemble des risques opérationnels (voir note 22 de bas de page), y compris la continuité des activités. La division Gestion des risques (RMA) est chargée de la gestion des risques financiers (voir point 70), y compris des activités de placement et des opérations de crédit de la BCE.

5.

L'audit de la Cour relatif à l'exercice 2010 avait pour objectif d'évaluer le caractère approprié du cadre de gestion des risques opérationnels et financiers de la BCE (7). Pour évaluer la gestion des risques à la BCE, les questions d'audit clés suivantes ont été examinées:

6.

L'audit de la gestion des risques à la BCE (8) comprenait les éléments suivants:

7.

L'ambition affichée de la BCE est d'appliquer les meilleures pratiques dans le cadre de sa gestion des risques: la Banque centrale européenne a accordé, dès le départ, une attention particulière à la gestion des risques. En tant que nouveau membre de la communauté des banques centrales, elle avait pour ambition d'appliquer les normes les plus élevées en matière de gouvernance en mettant en place une fonction de gestion des risques au sein de l'institution et en utilisant des outils de pointe (10).

8.

Une «culture du risque» forte à l'échelle de l'institution est l'une des pierres angulaires d'une gestion des risques efficace. La création de cette culture du risque présuppose l'établissement d'une fonction de gestion des risques complète (couvrant tous les types de risques, toutes les lignes d'activité et tous les risques pertinents) et indépendante, sous la responsabilité directe du responsable des risques (Chief Risk Officer, CRO) ou, si celui-ci n'a pas été désigné, des cadres dirigeants, conformément au principe de proportionnalité  (11).

9.

Au sein de la BCE, chaque unité organisationnelle (12) est responsable de la gestion de ses propres risques et contrôles. Dans le cadre du processus de gestion des risques, deux fonctions/divisions fournissent un appui aux unités organisationnelles:

10.

Pour assister le directoire dans sa prise de décision, plusieurs comités chargés de différents aspects de la gestion des risques ont été mis en place, notamment le comité du risque opérationnel, le comité d'investissement, le comité «actif – passif» et le comité du crédit.

11.

La BCE dispose d'une structure organisationnelle complète, avec une répartition claire des rôles et des responsabilités. Toutefois, il existe une séparation marquée entre la gestion des risques financiers et opérationnels au sein de la BCE, ce qui augmente la probabilité de ne pas disposer d'une vue d'ensemble complète des risques auxquels elle est exposée.

12.

Aucune autorité indépendante et unique, tel un responsable des risques (CRO) ou un comité général de gestion des risques, n'a été mise en place pour faire le lien entre le directoire et la fonction/les unités chargées de la gestion des risques, à savoir la fonction ORM/BCM et les unités relevant de la division RMA. Au moment de l'audit, le membre du directoire chargé de la gestion des risques cumulait également des responsabilités dans un certain nombre d'autres domaines, alors qu'un responsable des risques se concentrerait exclusivement sur la gestion des risques.

13.

En outre, l'absence d'une fonction de gestion des risques indépendante d'un point de vue hiérarchique renforce le risque qu'une priorité insuffisante soit accordée aux questions de gestion des risques, par exemple à l'affectation de personnel aux tâches de gestion des risques, les décisions en la matière relevant de la compétence de la DG-H.

14.

Un examen des meilleures pratiques dans d'autres organisations internationales similaires a montré que la Banque du Canada avait adopté un cadre intégré de gestion des risques comportant un responsable des risques et un groupe de travail sur la gestion des risques. Ces deux derniers sont chargés d'élaborer le profil de risque complet de la Banque, en prenant en considération les risques opérationnels et financiers, ainsi que ceux liés aux activités, comme cela est décrit à l'encadré 1. Le cadre de gestion des risques de la Banque s'inscrit pleinement dans ses processus de planification stratégique, d'établissement du budget et d'évaluation des performances en fin d'année.

Encadré 1

Exemple d'une gestion intégrée des risques – Banque du Canada

Le responsable des risques assume les responsabilités suivantes:

Le groupe de travail sur la gestion des risques exécute les tâches suivantes:

15.

16.

La BCE publie un rapport annuel, y compris les comptes annuels et les notes d'information qui s'y rapportent (16). Les informations relatives à la gestion des risques sont relativement limitées dans les comptes annuels et celles relatives aux principes et aux données chiffrées en matière de gestion des risques à la BCE ne sont pas rendues publiques [à l'exception de l'indicateur consolidé correspondant à la value at risk, VaR (17)]. Le rapport annuel de la BCE aborde brièvement certaines questions de gestion des risques, mais ne présente ni une vue d'ensemble du processus de gestion des risques au sein de l'organisation, ni les risques encourus, ni l'approche adoptée par l'encadrement pour y faire face.

17.

L'utilisation des normes internationales d'information financière (International Financial Reporting Standards – IFRS) (18) représente la meilleure pratique en matière de présentation des comptes des entités. Toutefois, la norme IFRS 7 «Instruments financiers: informations à fournir», qui concerne la présentation des risques encourus au niveau des comptes d'une organisation, n'a pas été appliquée par la BCE.

18.

D'autres banques centrales nationales ou internationales comme la Banque des règlements internationaux (BRI) et la Banque du Canada communiquent, dans le cadre de leurs états financiers annuels, des informations sur la gestion des risques, bien que l'une d'entre elles n'applique pas les IFRS (voir encadré 2 ci-après).

Encadré 2

Illustration de la communication d'informations relatives à la gestion des risques

19.

La gestion de la continuité des activités vient compléter le cadre de gestion des risques opérationnels (ORM) de la BCE; ensemble, ils forment un élément important de la gouvernance d'entreprise (20).

20.

Un cadre de gestion des risques opérationnels efficace comporte des stratégies précises, fait l'objet d'une supervision par le conseil d'administration et les cadres dirigeants, suppose une culture forte en matière de risque opérationnel et de contrôle interne (y compris une répartition claire des responsabilités et une séparation des tâches), ainsi qu'un système interne de communication des informations efficace.

21.

Pour évaluer la gestion des risques opérationnels à la BCE, la Cour a examiné:

22.

23.

Le cadre de gestion des risques opérationnels à la BCE a été adopté par le directoire en octobre 2007 (21) et sa description figure dans le Business Practice Handbook, publié sur l'intranet et accessible à l'ensemble du personnel. Il présente, dans les grandes lignes, la définition de la gestion des risques opérationnels de la BCE (22), la politique de tolérance au risque, ainsi que la répartition des rôles et des responsabilités; en outre, il donne une vue d'ensemble des politiques en matière d'évaluation, de réponses à apporter, d'établissement de rapports et de suivi.

24.

Les politiques de gestion des risques opérationnels qui ont été établies fournissent une définition précise du risque opérationnel à l'échelle de la Banque et présentent les principes sous-tendant l'approche adoptée par la BCE en matière d'évaluation, de suivi et de maîtrise/d'atténuation des risques. En revanche, le Business Practice Handbook ne donne aucune précision sur l'approche utilisée par la BCE pour identifier les risques.

25.

26.

À la BCE, le directoire est responsable en dernier ressort de la gestion des risques opérationnels. Le comité du risque opérationnel (ORC) traite les questions stratégiques à moyen terme, ainsi que certaines questions spécifiques de court terme présentant un intérêt (23). Le comité se compose d'un membre du directoire (le président) ainsi que de sept cadres dirigeants de la Banque (24). Il dispose de pouvoirs décisionnels en matière d'acceptation des risques d'un niveau moyen, les risques élevés devant toujours être soumis à l'acceptation du directoire. Le comité se réunit tous les deux mois, ou plus, le cas échéant.

27.

Le Business Practice Handbook met clairement en évidence la responsabilité des entités organisationnelles en ce qui concerne la gestion de leurs propres risques opérationnels (25). Par conséquent, chaque entité devrait désigner (au moins) un coordinateur de gestion des risques, qui apporte son soutien à la direction des entités organisationnelles en matière de gestion des risques opérationnels (ORM) et qui serve d'interlocuteur pour ces questions au sein de l'entité. En outre, la direction des entités organisationnelles est également chargée de veiller à ce que le personnel acquière et entretienne les compétences nécessaires pour assumer ses responsabilités et l'obligation de rendre compte en ce qui concerne la gestion des risques opérationnels. La fonction ORM/BCM devrait renforcer le cadre de gestion des risques opérationnels et en assurer le fonctionnement, ainsi que coordonner l'approche des différentes entités organisationnelles en la matière.

28.

Sur les huit personnes de la fonction ORM/BCM, seules quatre étaient des employés permanents au moment de l'audit. Les autres avaient été détachées par les banques centrales nationales, ou travaillaient sous contrat à durée déterminée pour une période de trois mois à deux ans. La rotation des effectifs est donc élevée, ce qui conduit à une rupture de continuité au sein d'une fonction importante et augmente le risque que le cadre de gestion des risques opérationnels ne soit pas correctement mis en œuvre à la BCE.

29.

Le degré de sensibilisation du personnel au cadre de gestion des risques opérationnels a été inclus dans les enquêtes menées en 2009 et 2010. En 2009, l'enquête a montré que près de 40 % des répondants estimaient qu'ils n'avaient pas reçu suffisamment d'informations sur la gestion des risques opérationnels; 56 % déclaraient ne pas savoir qui avait été nommé coordinateur de gestion des risques dans leur entité organisationnelle et 45 % ignoraient où trouver les informations relatives à la gestion des risques opérationnels sur l'intranet. En 2010, l'enquête a révélé que 40 % du personnel ne savaient toujours pas où se procurer les informations en question.

30.

31.

L'évaluation annuelle des risques opérationnels réalisée par les entités organisationnelles et la fonction ORM/BCM joue un rôle important dans l'établissement du profil de risque de la BCE. En 2009, les entités organisationnelles ont procédé aux évaluations de juin à août 2009, puis une réunion de calage a eu lieu avec les coordinateurs de gestion des risques. Le rapport établi sur la base d'une approche dite descendante a été achevé en janvier 2010.

32.

Le profil de risque devrait constituer l'un des éléments participant au processus de planification stratégique, qui est à son tour déterminant pour l'établissement du plan financier. Toutefois, l'audit a montré qu'aucune corrélation n'était établie entre l'évaluation annuelle des risques opérationnels et le cycle de planification stratégique et financière à la BCE. Dans ce contexte, la gestion des risques opérationnels risque de devenir un exercice isolé, et il se peut que le plan financier ne prévoie pas une affectation des ressources de nature à permettre la réalisation des objectifs stratégiques (26).

33.

Un exemple de bonne pratique provient de la Banque du Canada, où le profil de risque de la banque fait partie intégrante du cycle global de planification stratégique et financière de la banque (27).

34.

35.

La mise en œuvre du cadre de gestion des risques opérationnels reposait principalement sur des évaluations descendantes. En application de la politique de gestion des risques de la BCE, les entités organisationnelles devraient également procéder en continu à des évaluations de leurs processus selon une approche ascendante, et les risques mis au jour devraient être soumis à approbation (28).

36.

En 2008 et 2009, la BCE a réalisé des évaluations descendantes. La fonction ORM/BCM a communiqué aux entités organisationnelles plusieurs risques élevés prédéfinis, qui ont servi de base à leurs appréciations des risques. Pour chacune des entités organisationnelles, un plan d'action a été inclus dans le rapport final. Le Business Practice Handbook prévoit que les entités organisationnelles analysent et définissent des stratégies de réponse aux risques, et qu'elles réalisent une analyse coûts-avantages des solutions possibles.

37.

Les entités organisationnelles ont toutes identifié des risques et des réponses à apporter lors de l'exercice d'évaluation réalisé en 2009 sur la base d'une approche descendante. Le rapport d'évaluation 2009 en résultant comprenait des points d'action de suivi pour chaque entité organisationnelle. Toutefois, il n'existait aucune documentation relative aux analyses coûts-avantages au sein des entités organisationnelles faisant partie de l'échantillon.

38.

Dans certains cas, la procédure d'acceptation, qui suit l'identification du risque par l'entité organisationnelle et relève du comité du risque opérationnel/du directoire, s'est avérée particulièrement lente. Par exemple, deux risques relevés en juillet-août 2009 n'avaient toujours pas été approuvés en décembre 2010. En outre, il ressort de la liste des points d'action en cours examinée lors des réunions du comité du risque opérationnel que certains points sont restés ouverts pendant plus d'un an, voire deux dans quelques cas.

39.

Il n'a été possible de mettre en évidence les ressources spécialement allouées aux activités de gestion des risques opérationnels que dans les programmes de travail de trois des six entités organisationnelles composant l'échantillon; cependant, même dans ces cas-là, la description des activités en question était vague et il s'est avéré impossible de faire correspondre les points d'action de l'exercice descendant de 2009 relatif à la gestion des risques opérationnels avec les programmes de travail des entités organisationnelles.

40.

La gestion de la continuité des activités est une composante importante de la gestion des risques opérationnels. Pour pouvoir assurer la continuité des activités et des processus critiques en cas de crise, il importe d'établir des plans d'urgence et de rétablissement après sinistre pour les scénarios les plus pessimistes.

41.

La Cour a examiné si:

42.

La gestion de la continuité d'activité est une approche globale qui inclut la politique, les règles et les procédures pour s’assurer que des opérations précises peuvent être poursuivies ou récupérées dans un laps de temps raisonnable dans le cas d'une perturbation. Son but est de réduire au minimum les conséquences opérationnelles, financières, légales, de réputation et autres conséquences substantielles résultant d'une perturbation  (29).

43.

L'objectif de la gestion de la continuité des activités est de garantir que les dispositifs et les solutions en matière de continuité des activités sont conformes aux objectifs, aux obligations et aux missions statutaires de la BCE, ainsi qu'à sa politique de tolérance des risques (30).

44.

L'audit a comporté un examen des principaux documents constituant le cadre de gestion de la continuité des activités, à savoir:

45.

La BCE a élaboré un manuel de gestion des crises qui définit les rôles, les responsabilités et les processus en cas de crise, et contient les coordonnées de l'équipe de gestion des crises. Chaque entité organisationnelle est pleinement responsable de l'établissement de son plan de continuité des activités. Toutefois, le modèle directeur en la matière ne requiert pas de plan de continuité des activités à l'échelle de l'organisation et la BCE n'en a pas élaboré.

46.

La BCE a mis en place un cadre solide, qui fournit des orientations sur les politiques, les processus et les responsabilités en matière de gestion de la continuité des activités au sein de l'organisation. Toutefois, cette approche décentralisée induit également le risque que, en l'absence d'une coordination rigoureuse, la mise en œuvre de la gestion de la continuité des activités dans l'organisation prise dans son ensemble manque de cohérence.

47.

L’analyse d'impact sur l’activité représente un processus dynamique pour identifier les opérations et services critiques, les dépendances clés, internes et externes, et les niveaux de résilience appropriés. Ce processus évalue les risques et les impacts potentiels de divers scénarios de perturbation sur les opérations d'une organisation et sur sa réputation  (31).

48.

La dernière analyse d'impact complète sur l'activité remonte à 2006 (32) et visait à mettre en évidence les produits et les services de la BCE indispensables à la continuité des opérations principales de la Banque. L'analyse d'impact sur l'activité était centrée sur les domaines clés suivants:

49.

Une mise à jour approfondie de l'analyse d'impact sur l'activité réalisée en 2007 a révélé que la continuité des activités et les dispositifs en vigueur à cette époque présentaient certaines lacunes. Une stratégie de suivi a été mise en place, proposant différentes solutions pour combler les lacunes observées ou accepter les risques et les coûts. Toutefois, même si les coûts des solutions concernant l'informatique et l'infrastructure logistique figuraient dans le document en question, ce dernier ne comprenait aucune ventilation visant à montrer l'incidence, sur les coûts, des différents niveaux de risque.

50.

La dernière mise à jour de l'analyse d'impact sur l'activité, dont l'objectif était de combler les lacunes détectées en 2007, a été achevée en 2010. Depuis la crise financière, il n'a été procédé à aucune analyse d'impact complète sur l'activité.

51.

Il conviendrait de concevoir les plans de continuité des activités de telle manière que les opérations critiques soient identifiées pour garantir que la BCE puisse remplir ses obligations statutaires, telles qu'elles sont définies dans le protocole correspondant sur les statuts de la BCE  (33). Ces plans devraient être élaborés sur la base du «scénario le plus pessimiste» et en tenant compte du fait que les réponses à apporter peuvent être allégées pour s'adapter à la réalité de la crise  (34).

52.

La BCE a défini les principaux critères de référence servant à déterminer la criticité pour un certain nombre de risques sur la base de ses obligations statutaires (voir encadré 3).

Encadré 3

Principaux critères de référence pour déterminer la criticité

Les obligations statutaires consistent notamment à:

L'interruption de l'un des processus identifiés peut avoir les conséquences suivantes:

Source: Analyses d'impact sur l'activité de la BCE, Étude 2006.

53.

Sur la base de l'examen par la Cour de ces principaux critères de référence et d'une évaluation préliminaire du degré potentiel de poursuite des opérations dans le cadre des scénarios établis (35), il a été estimé que les plans élaborés ont été conçus de manière à garantir que les obligations statutaires soient remplies. Dans le cadre de son examen des plans de continuité des activités, la Cour a cependant constaté que les plans destinés à faire face, en cas de sinistre, à de lourdes pertes au niveau des ressources humaines (36) faisaient défaut. Bien que les entités organisationnelles responsables des processus aient désigné les personnes compétentes en matière de continuité des activités, ainsi que leurs remplaçants, aucune d'entre elles ne disposait d'un «plan de secours» pour les cas d'indisponibilité du personnel à grande échelle.

54.

Une organisation comparera l’avantage direct de mesures prises pour améliorer sa résilience aux perturbations opérationnelles avec le coût de ces mesures  (40).

55.

D'une manière générale, le modèle directeur du plan de continuité des activités de la BCE définit la structure et le contenu que les plans de continuité des activités des différentes entités organisationnelles doivent obligatoirement présenter. En tant que tel, ce modèle ne comporte qu'un canevas des documents relatifs au plan de continuité des activités que les entités doivent présenter.

56.

Les plans de continuité des activités sont élaborés au niveau de l'entité organisationnelle, du département ou de la division. Si, d'une manière générale, le modèle directeur du plan de continuité des activités a bien été respecté pour ce qui est du contenu, de grandes différences apparaissent néanmoins en ce qui concerne le degré de détails. Bien que la fonction ORM/BCM joue un rôle de coordination centrale, la qualité des différents plans de continuité des activités dépend de la personne responsable au niveau de l'entité organisationnelle. Il n'existe aucun élément attestant que les différents plans de continuité des activités font l'objet d'une révision suffisante par la fonction ORM/BCM.

57.

Sur les cinq entités organisationnelles (41) sélectionnées pour les tests approfondis, quatre ont présenté des plans de continuité des activités conformes aux exigences en la matière, dont trois traitaient de manière exhaustive les processus critiques identifiés dans le cadre de l'analyse d'impact sur l'activité.

58.

Dans la plupart des cas, il n'existait aucune documentation relative aux analyses coûts-avantages des diverses solutions possibles en matière de continuité des activités au sein des entités organisationnelles faisant partie de l'échantillon, ni aucune évaluation des différents niveaux de risques.

59.

Les organisations devraient, de manière appropriée, tester leurs plans de continuité d’activité, évaluer leur efficacité et mettre à jour leur gestion de la continuité d’activité  (42). En vertu de la norme BS 25999  (43), l'organisation doit veiller à ce que les dispositifs de gestion de la continuité des activités soient validés par le biais de tests et de révisions, et qu'ils soient maintenus à jour.

60.

Les documents suivants ont été examinés:

61.

La stratégie en matière de tests est centrée sur les plans de continuité des activités et les plans de récupération des systèmes d'information qui ont été établis pour permettre la révision des processus critiques conformément à l'analyse d'impact sur l'activité. Le cadre de tests inclut une répartition claire des responsabilités, la définition de l'étendue des tests et de leur fréquence, les exigences en matière de communication des informations, ainsi qu'un programme pertinent pour les tests à moyen terme. L'examen a montré que le cadre de tests mis en place est adéquat et conforme aux exigences de la norme BS 25999.

62.

Les tests effectués ont révélé que les exercices de simulation, bien qu'ils couvrent le personnel clé et soient réalisés régulièrement, ne reproduisent pas toujours les situations auxquelles la BCE serait confrontée en cas de perturbation majeure de ses activités. Les tests prévus en 2009 et 2010 n'ont pas couvert tous les scénarios élaborés par la BCE, et les tests programmés initialement n'ont pas toujours été tous exécutés.

63.

Il convient de sensibiliser les équipes chargées de la gestion des crises et des réponses à apporter à leurs responsabilités et à leurs tâches. Une formation devrait être dispensée à ces équipes au moins une fois par an, ainsi qu'aux nouveaux membres, dès leur entrée en fonction. Il importe de former tous les membres du personnel à l'exercice de leurs propres responsabilités en cas de crise. En outre, ils devraient être informés des principaux éléments du plan de continuité des activités  (45).

64.

La stratégie adoptée par la BCE en matière de formation prévoit que l'ensemble du personnel doit pouvoir bénéficier du programme de sensibilisation à la gestion de continuité des activités (46). En ce qui concerne les tests, la stratégie de formation prévoit l'établissement d'un programme de formation, qui précise les détails de la mise en œuvre.

65.

En 2010, dans le cadre des programmes de formation en matière de gestion des risques, cinq demi-journées de formation ont été organisées pour permettre la «découverte» du manuel de gestion de crises adopté par la BCE. Si, d'une manière générale, l'introduction au manuel et la séance de formation ont reçu une évaluation positive des participants, ceux-ci n'ont toutefois pas manqué de souligner que des tests de simulation seraient hautement appréciés.

66.

Si l'audit a permis de relever des éléments attestant qu'une formation était manifestement dispensée au personnel responsable en matière de continuité des activités, notamment par le biais de tests relatifs aux plans de continuité des activités, aucun élément n'attestait que les autres membres du personnel aient été sensibilisés, de manière active, au cadre et aux processus de continuité des activités. Or, plusieurs documents de référence internes (47) confirment que, même si les tests jouent un rôle essentiel dans le cadre de la formation du personnel, il importe d'informer l'ensemble du personnel au moyen d'un programme de sensibilisation. Aucun programme de ce type n'a encore été élaboré, la fonction ORM/BCM centrale estimant que le degré de sensibilisation du personnel aux systèmes de continuité des activités est satisfaisant. Toutefois, une enquête interne (48) révèle que plus de 12 % (20 % en 2009) des répondants n'ont pas connaissance des dispositifs de continuité des activités de leur entité organisationnelle et ne seraient pas en mesure de trouver les informations sur la manière de réagir en cas de crise.

67.

La gestion des risques financiers est un processus visant à prendre en considération les incertitudes résultant des marchés financiers. Elle inclut l'évaluation des risques financiers auxquels est exposée une organisation, ainsi que l'élaboration de stratégies de gestion cohérentes avec les priorités et les politiques internes.

68.

La Cour a examiné si:

69.

Le cadre devrait donner une définition du risque financier à l'échelle de l'entreprise et établir les principes régissant la manière dont les risques financiers doivent être identifiés, évalués, suivis et contrôlés/atténués  (49). La banque doit disposer d'un système de gestion des risques financiers au sein duquel les responsabilités sont clairement réparties.

70.

Le cadre de gestion des risques financiers de la BCE a été conçu de sorte à couvrir les risques afférents à deux types d'opérations de la BCE: i) les placements et ii) les crédits. Les opérations de placement se rapportent à deux portefeuilles, à savoir celui des réserves de change (50) (60 600 millions d'euros au 31 décembre 2010) et celui des fonds propres (51) (13 300 millions d'euros au 31 décembre 2010). Les opérations de crédit, quant à elles, sont liées aux opérations de politique monétaire (52). Dans le cadre de ses activités de placement, la BCE assure la gestion de ses réserves de change (53), de son portefeuille de fonds propres et du fonds de pension, et exerce des activités relatives aux deux portefeuilles détenus à des fins de politique monétaire (54).

71.

La division RMA est chargée d'assurer le fonctionnement du cadre global de gestion des risques pour les opérations de placement, ainsi que pour le suivi, l'évaluation et le contrôle des risques inhérents à ces opérations. Elle surveille le respect des politiques et des processus convenus en matière de gestion des risques de crédit et de marché. Les cas de non-respect sont communiqués conformément aux procédures d'intervention par paliers convenues.

72.

La DG-M est l'entité organisationnelle responsable de l'exécution des opérations de placement à la BCE. En outre, elle est chargée de la maintenance et de la poursuite du développement de l'application destinée à la gestion des portefeuilles de l'Eurosystème (55). La division Placements de la DG-M est responsable de l'élaboration des propositions du comité d'investissement concernant la référence tactique pour les portefeuilles de réserves de change et la gestion directe du portefeuille de fonds propres de la BCE.

73.

Le Handbook of Financial Risk Management  (56), document clé en matière de gestion des risques financiers des activités de placement, présente une vue d'ensemble complète des politiques, des procédures et des processus pertinents, notamment en faisant référence aux documents adoptés par l'organe de décision de la BCE.

74.

Le cadre global et celui de gestion des risques financiers mis en place par la BCE aux fins de gestion des opérations de placement et autres activités bancaires donnent une définition du risque financier à l'échelle de la banque, et établissent les principes régissant la manière dont les risques financiers doivent être identifiés, évalués, suivis et maîtrisés/atténués.

75.

76.

Le Handbook of Financial Risk Management de la BCE définit les éléments suivants:

77.

Le processus de placement des réserves de change repose sur une structure à trois niveaux, en l'occurrence la référence stratégique, la référence tactique et les portefeuilles réels. La référence stratégique, qui reflète les préférences en matière de risque-rendement à long terme, relève de la décision du conseil des gouverneurs.

78.

S'agissant du processus de placement des fonds propres, il s'articule autour d'une structure à deux niveaux, à savoir la référence stratégique et le portefeuille réel. La référence stratégique relève de la décision du directoire.

79.

Les rendements sont maximisés en tenant compte de la contrainte de ne pas essuyer de perte et d'allouer les actifs; ils sont mis en œuvre par le biais d'une allocation stratégique spécifique des actifs (58).

80.

Les listes des pays, des émetteurs et des contreparties éligibles sont gérées par la division RMA. Celle-ci définit les limites pour les contreparties sur la base de la méthodologie approuvée par le directoire. S'agissant de la gestion des réserves de change, les limites fixées pour les banques centrales nationales sont établies conformément à la méthodologie approuvée par le conseil des gouverneurs. Une fois par an, toutes les limites sont systématiquement actualisées. En outre, l'incidence des changements de notation sur l'éligibilité et les limites est immédiatement prise en considération.

81.

L'allocation stratégique des actifs tient compte d'impératifs politiques stricts, à savoir:

Les horizons de risque et d'investissement sont déterminés sur une base annuelle pour les réserves de change et quinquennale pour les fonds propres.

82.

L'audit de la Cour a comporté un examen:

83.

L'examen du cadre de gestion prises pour atténuer les risques financiers montre que la méthodologie appliquée permet de déterminer l'appétence pour le risque de manière satisfaisante et donne des orientations complètes en ce qui concerne les opérations de placement à la BCE.

84.

85.

L'audit de la Cour a comporté:

86.

S'agissant du cadre relatif à la VaR, les aspects suivants ont été examinés:

87.

Les tests ont montré que la méthodologie a été mise en œuvre de manière adéquate. Toutefois, aucun document n'atteste que le «principe du double regard» a été appliqué. En outre, l'examen des modèles utilisés pour calculer les références stratégiques et tactiques ainsi que pour établir la VaR, y compris la validation du modèle, a permis de constater que, dans certains cas:

88.

Un examen des meilleures pratiques utilisées dans d'autres organisations internationales similaires a montré que, à la suite de la crise financière aux États-Unis, la Banque fédérale de réserve de New York a mis en place une équipe chargée de la validation des modèles dans le cadre du renforcement des capacités en matière de gestion des risques financiers. L'encadré 4 présente les tâches principales de cette équipe.

Encadré 4

Équipe chargée de la validation des modèles à la Banque fédérale de réserve de New York

Les tâches principales de l'équipe consistent à:

89.

90.

La division RMA veille au respect des politiques et processus convenus en matière de gestion des risques de marché et de crédit; elle est également responsable de la notification des cas de non-respect conformément aux procédures d'intervention par paliers prévues. La division RMA de la BCE communique régulièrement des informations sur le risque-rendement et les performances des portefeuilles de réserves de change et de fonds propres de la BCE, ainsi que sur les références stratégiques et tactiques correspondantes. Les rapports sont établis sur une base quotidienne, hebdomadaire, mensuelle, trimestrielle et annuelle.

91.

Les tests et les entretiens réalisés par les auditeurs ont confirmé que les rapports sur les performances sont établis régulièrement et transmis à la direction en temps utile. Toutefois, il a été constaté que les normes GIPS (59), considérées comme meilleures pratiques, ne sont pas pleinement respectées dans le cadre de l'établissement de rapports internes de la BCE sur les performances.

92.

La BCE a mis en place une structure organisationnelle complète, avec des rôles et des responsabilités clairement répartis. Toutefois, il existe une séparation marquée entre la gestion des risques financiers et celle des risques opérationnels au sein de la Banque, ce qui augmente la probabilité de ne pas disposer d'une vue d'ensemble complète des risques auxquels elle est exposée. Aucune autorité indépendante et unique, tel un responsable ou un comité des risques, n'a été instituée pour faire le lien entre le directoire et la fonction/les unités chargées de la gestion des risques, à savoir la fonction ORM/BCM et les unités relevant de la division RMA.

93.

Les comptes annuels de la BCE abordent brièvement certaines questions de gestion des risques, mais ne présentent pas une vue d'ensemble du processus de gestion des risques au sein de l'organisation, ni les risques encourus, ni l'approche adoptée par l'encadrement pour y faire face.

Recommandations

94.

La BCE dispose d'une structure organisationnelle claire; elle a établi des politiques adéquates en matière de gestion des risques opérationnels qui définissent l'approche adoptée par la Banque en matière d'évaluation, de suivi et de maîtrise/d'atténuation des risques.

95.

Si des évaluations descendantes ont été réalisées en 2008 et 2009 et des plans d'action définis pour chacune des entités organisationnelles, les analyses coûts-avantages n'ont toutefois pas été documentées.

96.

Un système d'établissement de rapports, de contrôle et de suivi a été mis en place et un calendrier a été convenu afin d'assurer le suivi des mesures prises en matière d'atténuation des risques pour les risques de niveau moyen ou élevé. S'agissant de certains risques, la procédure d'acceptation par le comité du risque opérationnel/le directoire a cependant nécessité vraiment beaucoup de temps. Aucune corrélation n'est établie entre les cycles de planification et de gestion des risques opérationnels. En outre, les activités liées à la gestion des risques opérationnels n'apparaissaient pas clairement dans les programmes de travail de certaines entités organisationnelles contrôlées.

97.

La BCE a élaboré un manuel de gestion des crises complet, qui définit les rôles, les responsabilités et les processus en cas de crise, et contient les coordonnées de l'équipe de gestion des crises. Chaque entité organisationnelle est pleinement responsable de l'établissement de son plan de continuité des activités.

98.

La BCE a mis en place un cadre solide, qui fournit des orientations sur les politiques, les processus et les responsabilités en matière de gestion de la continuité des activités au sein de l'organisation. Toutefois:

Recommandations

99.

Le cadre global et celui de gestion des risques financiers mis en place par la BCE aux fins de gestion des opérations de placement et autres activités bancaires sont adéquats. L'examen du cadre de gestion des risques financiers a montré que la méthodologie adoptée en la matière est solide et adaptée à la gestion des opérations de placement et autres activités bancaires à la BCE. Toutefois, l'application pratique de cette méthodologie doit être améliorée, par exemple en ce qui concerne les modèles utilisés pour le calcul des références stratégiques et tactiques, ainsi que pour le calcul de la VaR.

100.

Les rapports internes relatifs à la gestion des risques fournissent aux cadres dirigeants et au directoire de la BCE des informations précises, adéquates et complètes sur la gestion des risques financiers. Les rapports sur les performances sont établis régulièrement et en temps opportun; en revanche, ils ne sont pas mis à jour de façon régulière de sorte à tenir compte des modifications apportées aux normes GIPS.

Recommandations