Risque Opérationnel (CRR3) : l'ABE répond à la Commission

Focus — Risque Opérationnel : l'ABE précise sa position face à la Commission sur les nouvelles normes techniques

L'Autorité Bancaire Européenne (ABE) a publié, le 23 avril 2026, sa réponse formelle aux amendements proposés par la Commission Européenne concernant le projet de normes techniques de réglementation (RTS) sur le risque opérationnel. Cette publication s'inscrit dans le cadre de la finalisation du paquet bancaire européen (CRR3/CRD6) qui transpose en droit de l'Union les derniers standards de Bâle III.

Ce dialogue institutionnel entre l'ABE, en tant qu'architecte technique, et la Commission, en tant que législateur délégué, est une étape critique déterminant les modalités pratiques de calcul des exigences de fonds propres pour les établissements de crédit. L'enjeu principal réside dans la recherche d'un équilibre délicat entre la simplification réglementaire, souhaitée pour alléger la charge des acteurs, et la sensibilité au risque, indispensable pour garantir la stabilité financière.

💡 Sujet/Concept clé : de quoi parle-t-on ?

Le risque opérationnel est défini par le Règlement sur les Exigences de Fonds Propres (CRR) comme le risque de pertes résultant d'une inadéquation ou d'une défaillance des processus, des personnes et des systèmes internes, ou d'événements extérieurs. Cela inclut le risque juridique, mais exclut les risques stratégique et de réputation. Jusqu'à présent, les banques utilisaient diverses approches (Indicateur de Base, Standard, Avancée AMA) pour le quantifier.

La réforme Bâle III, transposée par CRR3, met fin à cette pluralité en instaurant une approche standard unique et non modélisable (Standardised Approach - SA). Cette nouvelle méthode se base sur deux composantes principales : l'Indicateur d'Activité (Business Indicator - BI), qui est une mesure proxy de la taille et du volume d'activité de la banque, et un multiplicateur de pertes internes (Internal Loss Multiplier - ILM), qui ajuste les exigences de capital en fonction de l'historique des pertes opérationnelles de l'établissement. Les RTS en cours de finalisation visent précisément à clarifier les moindres détails du calcul du BI et les critères de collecte des données de pertes.

La base légale et réglementaire

Le cadre juridique principal est le Règlement (UE) n° 575/2013 (CRR), et plus spécifiquement sa future itération, CRR3. Ce texte confère à l'ABE le mandat de développer des projets de normes techniques de réglementation (RTS) pour assurer une application harmonisée et cohérente des règles prudentielles au sein de l'Union Européenne. Ces RTS sont des actes juridiquement contraignants qui précisent les dispositions du règlement.

Une fois le projet de RTS soumis par l'ABE, la Commission Européenne dispose d'un pouvoir d'adoption. Elle peut l'accepter tel quel, le rejeter, ou, comme c'est le cas ici, proposer des amendements. Cette phase de navette réglementaire est cruciale. Le non-respect des exigences de fonds propres qui découleront de ces textes expose les établissements à des mesures de surveillance renforcées, des restrictions d'activité et, in fine, des sanctions administratives imposées par les superviseurs nationaux et la BCE.

Divergences sur le calcul du Business Indicator : l'ABE défend une approche plus granulaire

Le cœur du désaccord entre les deux institutions semble porter sur le niveau de granularité des données requises pour le calcul du Business Indicator (BI). Selon nos informations, la Commission aurait proposé d'introduire des simplifications, notamment en autorisant l'utilisation de données comptables plus agrégées pour la composante 'Services' du BI (commissions, frais, etc.). L'objectif affiché serait de réduire la charge de mise en conformité pour les établissements de plus petite taille.

Dans sa réponse, l'ABE s'oppose fermement à cette simplification. L'autorité soutient qu'une approche trop agrégée pourrait masquer des concentrations de risques spécifiques et ne refléterait pas fidèlement le profil de risque opérationnel des banques, y compris les plus petites. Elle insiste sur la nécessité de conserver une décomposition fine des postes de revenus pour garantir la sensibilité au risque de la nouvelle approche standardisée.

Un autre point de friction concernerait le seuil de collecte des données de pertes internes. La Commission aurait suggéré de relever significativement le seuil de déclaration des pertes, le faisant passer de 20 000 € à 100 000 €. L'ABE rétorque qu'un tel relèvement exclurait un volume très important de pertes de fréquence élevée mais de faible sévérité, qui sont pourtant un indicateur clé du risque opérationnel. Cela conduirait à une sous-estimation mécanique du multiplicateur de pertes (ILM) et, par conséquent, des exigences de capital réglementaire.

Ce que ça change opérationnellement (Plan d'action)

Pour les Compliance Officers et Risk Managers, cette passe d'armes réglementaire n'est pas neutre et impose une préparation proactive. Voici un plan d'action en 6 points :

• 1. Anticiper la granularité maximale des données : Ne pas attendre la version finale des RTS. Les équipes doivent dès à présent revoir les processus de collecte des données pour chaque sous-composante du Business Indicator. Il est impératif de cartographier les sources de données au niveau le plus fin possible pour être prêt à répondre à l'exigence la plus stricte, qui semble être la ligne défendue par l'ABE.

• 2. Mener des études d'impact sur les seuils de pertes : Les équipes Risques doivent simuler l'impact de différents seuils de collecte de pertes (€20k, €50k, €100k) sur le calcul de l'ILM et sur le montant final des fonds propres. Cette analyse quantitative sera un outil précieux pour le pilotage interne et les futures discussions avec le superviseur.

• 3. Mettre à jour la cartographie des risques opérationnels : La cartographie doit être enrichie pour inclure explicitement les risques liés à la qualité, l'agrégation et le reporting des données pour la nouvelle approche SA. Le risque de mauvais calcul du BI doit être identifié, évalué et doté de contrôles adéquats.

• 4. Solidifier la gouvernance des données de risque : Mettre en place ou renforcer un cadre de gouvernance formel pour les données utilisées dans le calcul du risque opérationnel. Cela implique de définir clairement les propriétaires de données (data owners), les contrôles de qualité automatisés et manuels, ainsi que les pistes d'audit complètes depuis la source jusqu'au reporting réglementaire.

• 5. Préparer les formats de reporting (COREP) : Collaborer avec les équipes IT et Reporting Réglementaire pour anticiper les adaptations nécessaires dans les futurs templates COREP. La position de l'ABE suggère que le niveau de détail exigé sera élevé. Des extractions à blanc basées sur le projet de RTS peuvent aider à identifier les écarts et les difficultés techniques en amont.

• 6. Former les Lignes de Défense : Organiser des sessions de formation pour les équipes opérationnelles (1ère ligne) et les fonctions de contrôle (2ème ligne) sur les subtilités de la nouvelle approche SA. Le plan de contrôle permanent doit être mis à jour pour intégrer des vérifications spécifiques sur la correcte classification des postes du BI et l'exhaustivité de la base des incidents de pertes.

Sources :

• 📎 EBA — The EBA responds to the Commission’s proposed changes to its draft technical standards on operational risk