Risques, pilotage financier, Bâle III et reporting réglementaire : audit, conseil, formation et assistance technique pour la banque

Le cadre prudentiel et de reporting

Bâle III finalisé : CRR3 et CRD6

Dans l'Union européenne, les exigences prudentielles des banques reposent sur le règlement (UE) n° 575/2013 (CRR) et la directive 2013/36/UE (CRD), modifiés en 2024. Le règlement (UE) 2024/1623 du 31 mai 2024, dit CRR3 (Capital Requirements Regulation 3, règlement européen sur les exigences de fonds propres, troisième version), a été publié au Journal officiel le 19 juin 2024 et s'applique pour l'essentiel depuis le 1er janvier 2025. Il met en œuvre la finalisation de Bâle III, que l'on appelle couramment Bâle IV, une expression qui n'a pas de valeur officielle. Il révise le calcul des exigences pour risque de crédit, pour risque opérationnel (où les approches antérieures cèdent la place à une méthode standard unique, fondée sur un indicateur d'activité) et pour risque d'ajustement de l'évaluation de crédit, et instaure un plancher de fonds propres (output floor) fixé à 72,5 % des actifs pondérés calculés selon les approches standard, appliqué progressivement de 2025 à 2030. Le Comité de Bâle présente le cadre d'origine dans le texte Basel III: Finalising post-crisis reforms.

La directive (UE) 2024/1619, dite CRD6 (Capital Requirements Directive 6, sixième directive sur les exigences de fonds propres), renforce les pouvoirs de supervision, l'examen de l'aptitude des dirigeants, la prise en compte des risques environnementaux, sociaux et de gouvernance, et encadre les succursales de pays tiers. Les États membres devaient la transposer avant le 10 janvier 2026 ; en France, une ordonnance du 8 avril 2026 en porte la transposition. Reste le risque de marché : la révision fondamentale du portefeuille de négociation (FRTB) a été reportée au 1er janvier 2027 par un acte délégué de la Commission publié en septembre 2025, et la Commission a annoncé en juin 2026 des mesures d'allègement temporaires dont le statut est à suivre. La page de la Commission européenne consacrée au CRR recense les actes d'application.

COREP, FINREP et informations de pilier 3

Les établissements remettent à leur superviseur des états prudentiels (COREP : fonds propres, exigences, grands risques, liquidité, levier) et des états financiers (FINREP, fondés sur les normes comptables internationales). Leur format est fixé par un règlement d'exécution de la Commission : le règlement d'exécution (UE) 2024/3117 du 29 novembre 2024 a remplacé le règlement (UE) 2021/451 pour tenir compte de CRR3. L'Autorité bancaire européenne (ABE) publie le cadre technique correspondant (modèle de données, règles de validation, taxonomie) dans des versions successives ; la version 4.0 s'applique depuis 2025, et des versions ultérieures s'appliquent module par module à partir de la fin de 2026 et de 2027 (voir la page de l'ABE sur les cadres de reporting). Les informations de pilier 3, publiques, obéissent à des modèles propres, que le calendrier de CRR3 a modifiés.

Pour une équipe de reporting, ces évolutions sont d'abord des chantiers de données : définitions, sources, règles de rapprochement avec la comptabilité, contrôles de cohérence entre états, délais de production. Une nouvelle approche réglementaire n'a de valeur que si la donnée qui l'alimente est qualifiée, historisée et expliquée.

Contrôle interne, ICAAP et ILAAP

L'arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque, des services de paiement et des services d'investissement fixe l'organisation du contrôle permanent et périodique, la maîtrise des risques, l'externalisation et le rapport annuel de contrôle interne, dont l'ACPR publie chaque année le canevas. L'article 10, qui définit notamment les prestations essentielles ou importantes, a été modifié par un arrêté du 29 juillet 2026, dont il faut lire la version consolidée. Les établissements évaluent par ailleurs leur adéquation de fonds propres (ICAAP) et de liquidité (ILAAP), documents que le superviseur examine dans le cadre de son processus de revue annuel. La supervision bancaire de la BCE contrôle directement les banques importantes de la zone euro, l'ACPR supervisant les autres établissements ; selon l'ACPR, 653 établissements bancaires étaient agréés en France fin 2025.

Ce que le superviseur et la direction attendent

Les rôles et les responsabilités

La filière risques, la direction financière, le contrôle de gestion, le contrôle permanent et l'audit interne forment un ensemble dont les frontières doivent être écrites. Le directeur des risques porte le dispositif de mesure et de suivi des risques ; le directeur financier, la production des comptes et des états ; le responsable du reporting réglementaire, la remise ; le contrôleur de gestion, le budget, la rentabilité et le suivi des écarts ; le responsable du contrôle permanent, la qualité des contrôles de premier et de deuxième niveau ; l'auditeur interne, le contrôle périodique. L'organe de direction arbitre et répond des choix devant le superviseur.

Les ruptures se produisent à l'interface : deux directions utilisent le même mot pour des périmètres différents, un état est validé sans que personne ne sache d'où viennent les données, un modèle de planification n'a plus de propriétaire après le départ de son auteur. Documenter ces interfaces est souvent plus utile que d'ajouter un contrôle.

La donnée de risque et sa traçabilité

Les principes du Comité de Bâle sur l'agrégation des données sur les risques et la notification des risques, connus sous le nom de BCBS 239, fournissent une grille de lecture utile : exactitude, exhaustivité, actualité, adaptabilité, gouvernance, architecture des données (voir le texte du Comité de Bâle). Ils ne sont pas un texte à appliquer mécaniquement à tous les établissements, mais le superviseur les utilise comme référence dans ses examens. Concrètement, il s'agit de pouvoir remonter du chiffre déclaré à la donnée source, de montrer les contrôles intermédiaires et de prouver que les définitions sont communes aux directions.

Le risque de crédit illustre l'enjeu. Un même portefeuille est regardé sous trois angles : l'exigence de fonds propres (approche standard ou notations internes), la provision comptable des pertes attendues dans les comptes établis selon IFRS (International Financial Reporting Standards, normes internationales d'information financière) 9, et le suivi de gestion par la direction des risques. Les trois doivent raconter la même histoire. Quand les définitions de défaut, de créance douteuse ou de restructuration diffèrent d'une direction à l'autre, les écarts se découvrent au pire moment, pendant un arrêté ou une inspection. Nous aidons à les repérer, à les expliquer et à décider d'une définition de référence.

Prestataires, secret bancaire et accès

Les informations de pilotage d'un établissement sont couvertes par le secret professionnel lorsqu'elles se rapportent à des clients (article L. 511-33 du code monétaire et financier). Nos missions travaillent par défaut sur des données agrégées, anonymisées ou de test, avec des comptes nominatifs et des droits d'accès définis par l'établissement. Une mission d'assistance qui exécuterait des tâches opérationnelles essentielles ou importantes relèverait des règles d'externalisation de l'arrêté de 2014, avec notification à l'ACPR et clauses renforcées ; nous cadrons les missions pour rester dans des livrables définis, au forfait ou en récurrent.

Situations de terrain

Planification, consolidation et outils d'éditeurs

La planification budgétaire, la consolidation et le pilotage de la performance s'appuient sur des outils d'éditeurs : Anaplan, IBM Planning Analytics (issu de Cognos TM1), Oracle Hyperion, SAP Analytics Cloud, SAP Business Planning and Consolidation, SAP S/4HANA Finance. Chacun a sa logique de modélisation, mais les difficultés se ressemblent : des règles de calcul enfouies dans des tableurs, des hiérarchies de comptes qui diffèrent entre le contrôle de gestion et le reporting réglementaire, des droits d'accès mal maîtrisés, des versions de budget non tracées. Un bon modèle est d'abord un modèle documenté, dont les hypothèses sont relisibles et dont les sources sont rapprochées de la comptabilité.

Optédif intervient sur ces outils comme concepteur de modèles, formateur et auteur de la documentation. Optédif n'est ni partenaire ni revendeur de ces éditeurs, et leurs marques appartiennent à leurs titulaires.

La période d'arrêté et le changement de référentiel

Un changement de référentiel, comme l'application de CRR3 ou une nouvelle version du cadre de reporting, se vit surtout pendant les arrêtés. Les équipes cumulent la production courante, les tests du nouveau format et les questions des commissaires aux comptes. Les points de vigilance sont connus : tenir une liste unique des écarts de rapprochement, dater chaque décision de traitement, garder une version figée des états remis, préparer les réponses aux demandes de précision de l'ACPR. L'enjeu n'est pas d'aller plus vite mais de ne pas perdre le fil des décisions.

Charges et fiscalité propres aux établissements

Le pilotage d'une banque intègre des charges particulières : la taxe sur les salaires, due par les employeurs qui ne sont pas assujettis à la TVA (taxe sur la valeur ajoutée) ou ne le sont que partiellement, des contributions aux dispositifs de résolution et de garantie des dépôts, la contribution pour frais de contrôle de l'ACPR. Ces postes pèsent sur la rentabilité des activités et sur la tarification interne ; leur calcul demande une documentation que les contrôleurs de gestion et les directeurs financiers doivent pouvoir présenter.

Ce que nous faisons, et ce que nous ne faisons pas

Les prestations

Optédif conçoit, conseille, audite, accompagne, apporte une assistance technique et forme. Dans ce domaine, cela se traduit ainsi : revue d'un dispositif de gestion des risques ou d'un processus de reporting, avec rapport d'écarts et plan d'actions ; conseil en méthodologie risques et en organisation de la filière finance ; réalisation de cartographies des risques, de modèles de planification et de dossiers réglementaires ; accompagnement du directeur des risques et des équipes de contrôle ; assistance technique d'analystes, de contrôleurs internes et de chargés de reporting, au forfait ou en récurrent, sous la responsabilité et l'encadrement d'Optédif, avec des livrables définis ; formation. Nos livrables sont traçables, argumentés et rédigés pour être présentés à l'ACPR, à la BCE, à l'audit interne ou à la direction. Les cas d'usage de ce site sont des exemples construits.

Ce que nous ne faisons pas

Optédif n'est pas un établissement de crédit, ne reçoit aucun fonds du public et n'exerce aucune opération de banque, de paiement, d'intermédiation ni d'investissement. Nous ne signons aucun état réglementaire, ne validons aucun modèle interne à la place de la fonction de validation, ne déclarons pas un établissement conforme à Bâle, à CRR3 ou au contrôle interne, et ne délivrons ni agrément ni certification. Nous n'occupons aucune fonction de contrôle : l'établissement conserve la responsabilité de ses fonctions de contrôle et de ses décisions.

Les missions d'assistance technique sont réalisées par des intervenants d'Optédif, sous la responsabilité et la direction d'Optédif, dans le cadre d'un contrat de prestation de services portant sur un objectif, un livrable ou un périmètre défini avec le client. Optédif ne met pas de personnel à disposition de ses clients. Sans cadre contractuel préalable, nous n'accédons pas à des données couvertes par le secret professionnel bancaire. Une première réponse vous est apportée sous 48 heures ouvrées, et un devis est établi après un échange sur votre besoin. Sur l'interprétation des textes prudentiels, faites valider vos décisions par un juriste ou un avocat spécialisé.