M A R C H É S

88 ● L’AGEFI – HAUTE FINANCE NOVEMBRE 2003

BARBARA LAMBERT

ANTONIO MIRA

L ES DOMAINES d’activitédes banques se sontfortement étendus

et les produits offerts large-ment étoffés. Les attentes desclients sont devenues plusélevées, les bourses ontconnu des volatilités de plusgrande ampleur, la pressionsur le secret bancaire devientplus forte et la concurrencenationale et internationaleplus vive. Pour survivre etcroître, les banques doiventsans cesse augmenter lavaleur ajoutée, satisfaire auxexigences rapides et crois-santes des régulateurs et desmarchés, tout en minimisant en même temps les coûts et les risques.

L’importance de la gestion du risque

A l’image de cette évolution,les risques auxquels le secteurbancaire est confronté sontdevenus plus nombreux, signi-ficatifs et complexes. Ainsi, lesbanques doivent plus quejamais disposer d’un système

de gestion de risque efficace etélaboré, susceptible d’assurerune réaction rapide face à l’ap-parition de nouveaux risques. A l’instar de la plupart desentreprises industrielles etde services qui n’ont, suiteaux pressions exercées par le marché, réagi que récem-ment avec l’implémenta-tion d’un enterprise-wide-risk-management, une gestion derisque adéquate est exigéepar l’autorité de surveillancebancaire en Suisse depuisfort longtemps. La Commis-sion fédérale des banques(CFB) attend, en particulier,de chaque banque, l’existen-ce d’une organisation interneadéquate par rapport à l’acti-vité exercée et aux risquesencourus. D’où la nécessité d’un sys-tème de gestion de risque performant. Ce point seraencore renforcé dans la légis-lation suisse avec l’entrée envigueur, prévue en 2007, desnouveaux accords de Bâle II.Ceux-ci visent à élaborer uneapproche exhaustive de l’adé-quation des fonds propres etse basent sur trois piliers qui

se renforcent mutuellement.Le premier pilier couvre lesexigences en fonds propresen regard du risque de crédit,de marché et des risques opérationnels. L’objectif dudeuxième pilier est d’assurerque les banques appliquentdes procédures internessaines pour déterminer l’adé-quation de leurs fonds pro-pres sur la base d’une évalua-tion approfondie des risquesencourus. Quant au troisiè-me pilier, il est basé sur lacapacité de la discipline dumarché et devrait modifier lapolitique de communicationdes banques, qui seront ainsiamenées à fournir des infor-mations supplémentaires. A noter que les exigencesqualitatives et quantitativesde gestion de risque ne repré-sentent qu’un aspect du vas-te cadre réglementaire exis-tant applicable aux banques.Ce cadre est composé de lois(dont principalement la loisur les banques, la loi sur lesbourses et les valeurs mobi-lières et la loi sur les fonds deplacement) et de leurs ordon-nances d’application, ainsi

L’approche risqueau centre de l’audit bancaire

Dans le contexte économique actuel, les banques doivent plusque jamais disposer d’un système de gestion de risque efficace et élaboré afin de préserver leur solidité financière, de continuerde croître et d’apporter la confiance au marché.

Les banques font face à un environnement socioéconomique de plus en plus difficile.

Et les risques auxquels elles sont confrontées sont devenus plus nombreux et plus complexes.

Barbara Lambert

Partner,

Ernst & Young

SA/Switzerland.

Antonio Mira

Senior Manager,

Ernst & Young

SA/Switzerland.

que des règles de comporte-ment définies par les asso-ciations professionnelles sousforme d’autoréglementation(notamment l’AssociationSuisse des Banquiers – ASB)et des circulaires édictées par la CFB.

Instaurer un contrôleinterne conséquent

L’ASB a mis à jour, en 2002,son ancienne directive de1987, pour tenir compte del’importance de la gestion derisque dans une banque. Ain-si, un certain nombre de prin-cipes ont été plus clairementdéfinis, notamment le rôle etles responsabilités du mana-gement (conseil d’adminis-tration et direction générale),les activités de contrôle et laséparation des fonctions, lanécessité de disposer desinformations actualisées,fiables, cohérentes et acces-sibles. Le conseil d’adminis-

tration doit veiller à la miseen place et au maintien d’uncontrôle interne conséquent,établir des limites à l’intérieurdesquelles les risques sontencourus et garantir la miseen place des mesures d’iden-tification, d’évaluation, de sur-veillance et de contrôle desrisques. Il appartient, par lasuite, à la direction généralede mettre en œuvre ces prin-cipes et notamment de déve-lopper des procédures decontrôle y relatives. La révi-sion interne, cellule indépen-dante directement rattachéeau conseil d’administration,a comme premier rôle de véri-fier le bon fonctionnement ducontrôle interne. En parallèle, et bien que celane soit pas encore obligatoi-re au sein des banques, onassiste à un développementdes comités d’audit, émana-tion du conseil d’administra-tion, composés de plus en

plus de spécialistes dans lesdifférents domaines concer-nés (comptabilité, réglemen-tation, juridique, private ban-king, etc.). Le comité d’auditassure la communicationrégulière avec l’audit externeet l’audit interne, veille à laqualité et l’indépendance deleurs travaux et informe l’en-semble du conseil d’admi-nistration, par des rapportssynthétisés sur les constats etrecommandations majeuresdes auditeurs.

L’audit bancaire, un travail complexe

Dans le cadre du concept desurveillance dualiste en Suis-se, la CFB exerce une sur-veillance des établissementsbancaires, hormis les grandesbanques, et ce de manièreindirecte. C’est-à-dire en sebasant sur les travaux dessociétés d’audit. Le droit ban-caire accorde ainsi un rôle

Les banques doivent plus que jamais disposer d’un système

de gestion de risque efficace et élaboré, susceptible d’assurer

une réaction rapide face à l’apparition de nouveaux risques.

M A R C H É S

89 ● L’AGEFI – HAUTE FINANCE NOVEMBRE 2003

La coordination entre les différents intervenantsLa surveillance des activités bancaires est assurée par plusieurs acteurs entre lesquels une collaboration est nécessaire.

beaucoup plus étendu auxauditeurs que celui définidans le code des obligations.L’auditeur bancaire, dans sonrôle d’organe de révision statutaire, ne vérifie pas seu-lement les états financiers. Ildoit également prendre posi-tion, dans un rapport adresséau conseil d’administrationde la banque et à la CFB, surle respect des conditions d’au-torisation d’une banque. Par ailleurs, il doit aussiconstater le (non)-respect de la réglementation bancai-re, se prononcer sur la situa-tion financière, de la fortune et des revenus (y compris sur

le processus budgétaire) etnotamment présenter desindications quantitatives etqualitatives sur la situationdes risques (adéquation de lapolitique des risques, gestionet contrôle). Le rôle de chaqueintervenant est schématisédans le graphique à la pageprécédente. Pour remplir leur rôle, lesauditeurs utilisent des métho-dologies basées sur l’analysede l’environnement, desrisques existants ou potentielset de l’organisation interned’une banque. > Compréhension de l’envi-ronnement. En premier lieu,

un diagnostic est posé sur l’in-teraction de la banque dansson environnement. Quelssont les clients? Quels sontles produits proposés? Surquels marchés et quellesrégions géographiques labanque intervient-elle? Quisont les stakeholders et quellessont leurs attentes? Quelle estla conjoncture économique?Quels sont les changementsréglementaires? etc. Cette pre-mière étape permet d’identi-fier les risques découlant desactivités bancaires (businessrisks), comme par exemple:sensibilité à l’évolution desindicateurs économiques(taux de change, taux d’inté-rêt, etc); concurrence; ten-dance et développement del’environnement (par exem-ple, les impacts du qualifiedintermediary, de la taxationeuropéenne de l’épargne, de lanouvelle ordonnance sur leblanchiment d’argent de laCFB); technologie (e-busi-ness, fournisseurs informa-tiques, disponibilité et sécu-rité de l’information…). > Appréciation de la culturede risque. La deuxième étapeconsiste à apprécier la cultu-re de risque de la banque etle degré d’élaboration dusystème de gestion de risqueet du contrôle interne. Sonpoint de départ se situe auniveau de la politique derisque qui reflète la compré-hension, la mesure et lecontrôle de risque par l’éta-blissement bancaire. Face àchacun d’eux, les établisse-ments adoptent certains com-portements: éviter un risque(par exemple, ne pas rentrersur un nouveau marché ouoffrir tel type de services);réduire ou transférer un

La Commission fédérale des banques attend de chaque banque

l’existence d’une organisation interne adéquate par rapport

à l’activité exercée et aux risques encourus.

M A R C H É S

90 ● L’AGEFI – HAUTE FINANCE NOVEMBRE 2003

Synthèse des risques d’activitéToute activité bancaire expose l’établissement à des risques d’activité, des risques financiers et des risques opérationnels.

risque (par exemple, utilisa-tion des dérivés de crédit), etenfin, accepter un risque. Unefois ce cadre posé, la banquedoit identifier, définir et mesu-rer les risques et attribuer unrisk owner pour chacun d’eux.Ensuite, il est nécessaire de fixer des tolérances auxrisques (limites), puis d’éta-blir un suivi et un reporting del’évolution de l’exposition auxrisques, et ceci de manièreindividuelle et globale. > Appréciation et analyse de chaque risque. L’auditeurprocède à une estimation desrisques inhérents (voir gra-phique en page précédente) àchaque domaine d’activité(crédit, trésorerie, gestion defortune, back-office, etc.). Ilspeuvent être classés en troiscatégories: 1. Les risques financiersdécoulant du marché (impactde la variation des prix), dudéfaut des contreparties (cré-dit) et de la liquidité (difficultéde la banque d’honorer sesengagements); 2. Les risques opérationnelsqui ont leur source dans: lerisque de compliance au senslarge (blanchiment d’argent,respect du cadre réglemen-taire et des normes pruden-tielles); la situation juridique(responsabilité de la banqueen cas de litige); la sécuritéphysique des locaux et desdonnées (informatique); lacomptabilité et l’administra-tion; la fiscalité; les transac-tions; les ressources humai-nes et la fraude. 3. Le risque de réputationpour la banque, qui découlede l’ensemble des risquesexternes et inhérents. Une fois que le niveau desrisques inhérents a été ainsi

estimé, l’auditeur doit com-prendre comment ceux-cisont gérés et contrôlés.Autrement dit, il doit appré-cier l’adéquation et l’effica-cité des mesures prises parla banque en vue de mini-miser les risques encourus.Si donc l’importance durisque se définit par le risqueinhérent, la capacité de gérerce risque se définit par lerisque de contrôle. La conjonction des niveauxestimés du risque inhérent etdu risque de contrôle permetensuite à l’auditeur de déter-miner l’étendue, la périodi-cité et les méthodes de vérifi-cation qu’il doit entreprendre,en accord avec les principesde la profession.

Le respect des conditionsd’autorisation

Seule une telle analyse per-met de s’assurer que lesrisques sont bien identifiés etcorrectement reflétés dans lescomptes annuels. Ces travauxpermettent également de seprononcer sur le respect desconditions d’autorisation etdes règles de comportement.Enfin, l’application d’une telle méthodologie permetégalement d’identifier desopportunités d’améliorationdu système de contrôle inter-ne et de les communiquer à la banque sous forme derecommandations. Dans le contexte économiqueactuel, une gestion de risqueefficace se révèle plus quejamais capitale, pour préser-ver la solidité financière d’unebanque et apporter la confian-ce au marché. Les autoritéssuisses de surveillance ontdéjà intégré cette nécessitédans la réglementation en

vigueur, qui va toutefois enco-re se renforcer avec l’intro-duction des nouveaux accordsde Bâle II. Le développementrécent du corporate gover-nance, à l’image des fonde-ments du contrôle internerécemment redéfinis parl’ASB, gagne en importancedans la gestion de risque.

La gestion des risques:un processus continu

La gestion de risque et lecontrôle interne doivent ainsiêtre entendus en tant que pro-cessus continu dont l’appli-cation doit être garantie enpermanence. Ce processusdoit assurer l’identificationdes déficiences et la prise demesures de correction adé-quates. L’analyse de ce pro-cessus dynamique est aucœur de l’approche et des travaux d’audit bancaire. Il nes’agit pas seulement d’uneappréciation figée des risquesà un instant donné. La CFB a récemment mis enconsultation un premier pro-jet de cinq nouvelles circu-laires ayant pour but de mieuxdéfinir ses attentes vis-à-visdu travail des auditeurs. Elleattend, notamment, que l’ana-lyse de risque et l’approched’audit bancaire en découlantsoient communiquées etvalidées avec le conseil d’ad-ministration ou le comitéd’audit. La communication et la compréhension des rôlesdes différents acteurs dans lasurveillance des banques s’entrouveront certainement faci-litées et améliorées. Quant à la transparence des infor-mations déterminantes sur la situation des risques, ellecontribuera à renforcer laconfiance. ■

Le conseil d’administration doit veiller à la mise en place

d’un contrôle interne conséquent et garantir l’instauration

des mesures d’identification et de contrôle des risques.

M A R C H É S

91 ● L’AGEFI – HAUTE FINANCE NOVEMBRE 2003