Données, BI, reporting décisionnel et gouvernance de la donnée : audit, conseil, formation et assistance technique pour la banque

Le cadre réglementaire de la donnée bancaire

BCBS 239 et les attentes de la BCE

Le Comité de Bâle sur le contrôle bancaire a publié le 9 janvier 2013 les « Principes pour l'agrégation des données sur les risques et la publication des risques » (BCBS 239), en réponse aux difficultés constatées pendant la crise financière : des banques ne parvenaient pas à agréger leurs expositions et à repérer leurs concentrations de façon complète, rapide et exacte. Le texte compte 14 principes, répartis entre la gouvernance et l'infrastructure, les capacités d'agrégation des données de risque (exactitude, exhaustivité, rapidité, adaptabilité), les pratiques de reporting (exactitude, exhaustivité, clarté, fréquence, diffusion) et le rôle des autorités de contrôle. Il s'adressait d'abord aux banques d'importance systémique mondiale, à partir de 2016, et le Comité recommandait aux autorités nationales de l'appliquer aussi à leurs banques d'importance systémique nationale.

La BCE, qui supervise directement les banques importantes de la zone euro, a publié le 3 mai 2024 un guide sur l'agrégation des données de risque et le reporting. Ce guide précise ses attentes sur sept points : la responsabilité de l'organe de direction, le périmètre du dispositif de gouvernance des données, les rôles et responsabilités, l'architecture de données intégrée au niveau du groupe, l'efficacité des contrôles de qualité, la rapidité des rapports internes et les programmes de mise en œuvre. Il ne crée pas de nouvelle obligation ; il décrit des pratiques attendues. Pour un établissement de taille plus modeste, ces principes restent une grille de lecture utile pour le contrôle interne et l'audit.

RGPD et secret bancaire

Dès qu'une donnée concerne une personne, le règlement (UE) 2016/679 (RGPD) s'applique. Il demande notamment que les données soient exactes et tenues à jour (article 5), limitées à ce qui est nécessaire, protégées par des mesures de sécurité adaptées (article 32) et inscrites dans un registre des traitements (article 30), avec une analyse d'impact pour les traitements à risque élevé (article 35). La CNIL publie les textes, ses listes et ses référentiels. Un prestataire qui traite des données pour le compte de l'établissement est un sous-traitant au sens de l'article 28 : un contrat précise ses obligations.

Le secret professionnel posé par l'article L. 511-33 du code monétaire et financier s'ajoute à ce cadre. Une plateforme de données bancaires contient des informations couvertes par le secret : leur communication à un tiers n'est possible que dans les cas prévus et dans la limite du nécessaire. La gouvernance de la donnée est donc aussi une gouvernance des accès : qui voit quoi, à quel niveau de détail, pour quelle finalité.

Reporting réglementaire et prestataires de plateformes

Les états réglementaires remis à l'ACPR (Autorité de contrôle prudentiel et de résolution), comme les états de fonds propres et d'information financière (COREP et FINREP), sont des productions de données soumises à des contrôles de cohérence et à des délais. Leur fiabilité dépend de la qualité des données sources, de la traçabilité des transformations et de l'organisation des rapprochements entre comptabilité et risques. Une anomalie découverte au moment de la remise coûte plus cher qu'une anomalie corrigée à la source.

Les plateformes de données et les outils de restitution sont souvent fournis par des prestataires, parfois en service hébergé. Au titre du règlement (UE) 2022/2554 (DORA), applicable depuis le 17 janvier 2025, un tel service est un service TIC (technologies de l'information et de la communication) : il doit figurer au registre d'informations de l'établissement, avec les clauses contractuelles exigées et une stratégie de sortie lorsqu'il soutient une fonction critique ou importante. Le dossier de l'AMF présente ces exigences.

Gouverner, mesurer et restituer la donnée

Propriétaires, data stewards, catalogue et référentiels

Une gouvernance de la donnée tient sur quelques décisions simples, mais difficiles à faire vivre. Chaque domaine de données (clients, comptes, contrats, expositions, tiers) a un propriétaire, responsable de sa qualité et de ses usages. Des data stewards en assurent la tenue quotidienne : définitions, règles, traitement des anomalies. Un catalogue décrit les données, leur origine, leur signification et leurs droits d'accès, qu'il soit tenu avec un outil dédié ou sur un socle plus simple. Des référentiels maîtres (MDM) évitent que le même client ou le même produit existe sous plusieurs identifiants. Une instance arbitre les désaccords entre directions.

Le responsable de la donnée anime ce dispositif, souvent en liaison avec la direction des risques, la direction des systèmes d'information et le délégué à la protection des données. Sa difficulté habituelle n'est pas l'outil mais la place : une gouvernance sans pouvoir d'arbitrage devient un annuaire.

La qualité de la donnée

La qualité se mesure par des critères : exhaustivité, exactitude, cohérence entre sources, fraîcheur, unicité, conformité aux formats. On la mesure sur un périmètre et à une date, on en cherche les causes (saisie, transformation, absence de propriétaire, référentiels en doublon) et on décide des corrections à la source plutôt que dans les rapports. Aucune méthode ne permet de promettre un niveau de qualité chiffré à l'avance : le niveau atteint dépend de la volonté de l'établissement de corriger ses processus, et il se constate, il ne se décrète pas. Nous ne présentons donc jamais de taux de qualité comme un résultat acquis.

La traçabilité, ou lignage, relie un chiffre présenté au comité des risques à ses sources : c'est la preuve que l'on peut l'expliquer. C'est aussi ce que demandent les principes BCBS (Basel Committee on Banking Supervision, Comité de Bâle sur le contrôle bancaire) 239 pour les données de risque.

Plateformes, intégration et restitution

Les architectures décisionnelles combinent des chaînes d'alimentation (ETL, flux en continu, comme Apache Kafka), un entrepôt ou une plateforme de données (Snowflake, Databricks, Microsoft Fabric), des outils de préparation et d'analyse (SQL, Python, Power Query) et des outils de restitution (Power BI, Qlik Sense, Tableau, SAS Visual Analytics, SAP BusinessObjects). Ces outils figurent dans le catalogue au titre des thèmes ; Optédif n'est ni partenaire ni revendeur de ces éditeurs, et les marques appartiennent à leurs titulaires.

Le choix d'une architecture dépend des volumes, des délais de production, des compétences et des contraintes de sécurité et d'hébergement. La migration d'un outil de restitution à un autre pose les mêmes questions que n'importe quelle migration : reprise de l'historique, rapprochement des résultats, formation des utilisateurs, et vérification que les chiffres affichés sont les mêmes avant et après.

Les plateformes hébergées chez un tiers posent en plus la question de la localisation des données et des transferts hors de l'Union européenne, que le RGPD encadre par des mécanismes spécifiques. Elles imposent de prévoir, dès la conception, le chiffrement, la gestion des clés, la journalisation des accès et la réversibilité : pouvoir récupérer ses données et ses modèles si l'on change de fournisseur.

Enfin, les mêmes données alimentent de plus en plus les modèles d'analyse et d'intelligence artificielle. Ce qui n'est pas documenté, défini et contrôlé pour un tableau de bord ne le sera pas davantage pour un modèle : la gouvernance de la donnée est un préalable, et non une option, à ces usages.

Rôles, prestataires et accès aux données

Qui est responsable de quoi

L'organe de direction répond de la qualité des informations remises au superviseur. Le directeur des risques et le directeur financier répondent des chiffres qui relèvent de leur périmètre. Le responsable de la donnée anime la gouvernance, les propriétaires de domaine définissent et contrôlent, la direction des systèmes d'information fournit les plateformes. Le contrôle permanent vérifie, l'audit interne apprécie le dispositif. Le délégué à la protection des données conseille et contrôle la protection des données personnelles. Un prestataire intervient dans ce cadre et ne reprend aucune de ces responsabilités. Une bonne pratique consiste à écrire ces rôles dans une matrice de responsabilités validée par la direction, afin que chaque donnée critique ait un nom en face de sa qualité, de son accès et de sa conservation.

Prestataires, sous-traitants et accès

Un intervenant extérieur qui audite, conçoit ou forme n'a pas besoin de données réelles de clients : des définitions, des modèles, des échantillons anonymisés ou fictifs suffisent. Quand une prestation exige de toucher des données réelles, par exemple pour migrer une plateforme ou mesurer la qualité d'un référentiel, l'établissement définit le cadre : finalité, minimisation, comptes nominatifs, moindre privilège, traçabilité, durée de conservation, contrat de sous-traitance au sens du RGPD et respect du secret bancaire. Les environnements de test ne reçoivent pas de copies brutes de la production.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Nous auditons le patrimoine de données, la qualité mesurée sur un échantillon et les reportings, en retraçant des indicateurs de bout en bout. Nous conseillons sur la gouvernance (rôles, instances, règles, catalogue, référentiels) et sur l'architecture décisionnelle. Nous concevons des modèles de données, des dictionnaires, des tableaux de bord et des référentiels avec vos métiers. Nous déployons ou migrons des plateformes et des outils de restitution, avec rapprochement des résultats. Nous apportons une assistance technique en analyse de données, en ingénierie de données et en data stewardship, sous la responsabilité et l'encadrement d'Optédif, avec des livrables définis, au forfait ou en récurrent. Sur les prestations qui touchent aux données de clients, nous respectons le secret bancaire, la confidentialité et les accès définis par l'établissement. Nos livrables sont traçables, argumentés et présentables à la direction, à l'audit interne ou au régulateur.

La formation, en intra-entreprise, vient en complément : construction d'indicateurs, contrôle des séries, documentation des données, lecture critique des tableaux de bord.

Ce que nous ne faisons pas

• Nous ne promettons aucun niveau de qualité des données et nous n'attestons pas de la conformité d'un établissement à BCBS 239, au RGPD ou à une exigence de reporting : les mesures que nous produisons sont datées, limitées à leur périmètre, et ne valent pas avis d'un régulateur.
• Nous ne tenons pas le rôle de délégué à la protection des données d'un client dont nous conseillons aussi les traitements, et nous ne signons aucun état réglementaire en son nom.
• Nous n'accédons pas aux données de clients sans cadre contractuel préalable, et nous ne mettons pas de personnel à disposition : nos intervenants restent sous l'autorité d'Optédif, sur des livrables définis. L'établissement conserve la responsabilité de ses fonctions de contrôle et de ses décisions.
• Nous ne choisissons pas votre plateforme ou votre fournisseur à votre place, et nos formations ne valent pas certification d'éditeur.

Références officielles

Les principes BCBS 239 sont publiés par la Banque des règlements internationaux, le guide de la BCE par la supervision bancaire européenne. Le RGPD est présenté par la CNIL (Commission nationale de l'informatique et des libertés), et le règlement DORA (Digital Operational Resilience Act, règlement européen sur la résilience opérationnelle numérique) par l'AMF. Le secret bancaire figure à l'article L. 511-33 du code monétaire et financier.