Évolution du Cadre de Gestion du Risque Opérationnel : Convergence entre DORA, ESG et les nouvelles normes de l'EBA

Source : European Banking Authority. (2026). Draft regulatory technical standards on operational risk management framework (EBA/CP/2026/18).

Sommaire : Le projet de RTS de l'EBA (EBA/CP/2026/18) modernise le cadre du risque opérationnel issu de Bâle III (CRR) en insistant sur la résilience et l'approche prospective. Il instaure une interopérabilité directe avec le règlement DORA pour éliminer les doublons en réutilisant les dispositifs ICT existants. Les facteurs ESG deviennent des moteurs (drivers) de risque devant être intégrés de manière prospective. Sur le plan de la gouvernance, l'indépendance de la 2e ligne de défense est renforcée face à l'audit. Enfin, le principe de proportionnalité applique des exigences accrues (reporting trimestriel, taxonomie obligatoire, stress tests) aux établissements dont l'Indicateur d'Activité atteint 750 M€. 
Consultation ouverte jusqu'au 31 décembre 2026.

1. Introduction : Le nouveau paradigme de l'EBA sur le risque opérationnel

Le document de consultation EBA/CP/2026/18 représente une évolution majeure du cadre prudentiel européen. Dans le sillage de la finalisation de Bâle III, qui impose désormais une approche standardisée unique pour le calcul des exigences de fonds propres au titre du Pilier 1, l'EBA renforce significativement les exigences qualitatives.

Ce projet de normes techniques de réglementation (RTS), mandaté par l'Article 323 du Règlement (UE) 575/2013 (CRR), vise à harmoniser les dispositifs de gestion tout en intégrant les nouveaux impératifs de résilience. L'objectif de cet article est d'analyser la convergence entre la gestion traditionnelle du risque opérationnel, les exigences de résilience numérique issues du règlement DORA, et l'intégration des facteurs ESG comme nouveaux moteurs de risque.

2. Synergie avec DORA : L'interopérabilité des cadres de résilience

L'Article 2 et le Considérant 5 du projet de RTS établissent un principe fondamental d'interopérabilité avec le Règlement (UE) 2022/2554 (DORA). Le risque lié aux technologies de l'information et de la communication (ICT) étant une composante intrinsèque du risque opérationnel, l'EBA autorise explicitement les institutions à s'appuyer sur les cadres déjà mis en œuvre pour DORA afin d'éviter la redondance des processus.

Les institutions peuvent réutiliser les éléments suivants pour satisfaire aux exigences de gestion du risque opérationnel :

• Les stratégies et politiques de gestion du risque ICT.
• Les protocoles et procédures de sécurité informatique.
• Les outils de contrôle et mécanismes de détection des incidents.
• Les processus de gestion des risques liés aux tiers (ICT).

L'obligation centrale réside dans l'intégration systématique des incidents ICT comme une composante matérielle des événements de risque opérationnel, garantissant ainsi l'absence de silos de données au sein de l'architecture de gestion des risques.

3. ESG : Un nouveau moteur de risque opérationnel

Conformément aux points 8 et 16 du document de consultation, les facteurs environnementaux, sociaux et de gouvernance (ESG) sont désormais qualifiés de « drivers » (moteurs) émergents du risque opérationnel. Cette intégration impose une transition d'une analyse purement historique vers une approche prospective (forward-looking).

Les institutions doivent identifier comment les facteurs ESG peuvent agir comme des déclencheurs de causes racines spécifiques menant à des pertes opérationnelles (par exemple, des défaillances de processus dues à des événements climatiques extrêmes ou des risques de conduite liés à la gouvernance). Ce cadre doit impérativement rester cohérent avec les orientations EBA/GL/2025/01.

L'EBA ne requiert pas la création de nouveaux modèles internes de capital pour l'ESG, mais exige une taxonomie suffisamment granulaire pour isoler ces moteurs de risque et identifier leur influence sur le profil de risque opérationnel de l'établissement.

4. Architecture de Gouvernance et Indépendance de la Fonction

Les chapitres II et III du projet de RTS précisent la répartition des responsabilités au sein de l'organe de direction et des fonctions de contrôle :

L'organe de direction :

• Fonction de surveillance : Approuve le cadre global (Operational Risk Management Framework) et définit l'appétit au risque au moins une fois par an.
• Fonction de gestion : Responsable de la mise en œuvre effective des politiques et des systèmes validés par la fonction de surveillance.

La fonction de gestion du risque opérationnel (2ème ligne de défense) : Pour assurer un challenge efficace, cette fonction doit respecter des critères d'indépendance stricts :

• Séparation des rôles : Absence de responsabilités dans les opérations quotidiennes ou dans la performance des unités supervisées.
• Interdiction de cumul : Selon l'Article 10(3), la fonction de gestion du risque opérationnel ne doit pas être responsable de la fonction d'audit (3ème ligne de défense).
• Autorité et accès : Elle doit disposer d'une stature suffisante et d'un accès direct et régulier à l'organe de direction.
• Coopération : Une interaction étroite est requise avec la fonction de conformité pour couvrir l'intégralité du risque juridique.

5. Proportionnalité : Le seuil critique des 750 millions d'euros

Le principe de proportionnalité s'articule autour de l'Indicateur d'Activité (Business Indicator - BI). Le tableau suivant synthétise les différences d'exigences selon la taille de l'institution.

6. Système d'Évaluation et Taxonomie : Vers une granularité accrue

L'Article 9 et les précisions de l'EBA imposent une rigueur accrue dans la qualification des événements. Pour les institutions dont le BI est ≥ 750 M€, l'identification des pertes « pertinentes » sous le seuil de 20 000 € est impérative pour détecter des schémas de défaillances structurelles.

Une attention particulière doit être portée aux cas limites (boundary cases). Conformément aux orientations de l'EBA (Question 11), les événements de risque opérationnel ayant des impacts liés aux risques du Pilier 2 - notamment le risque stratégique, le risque de business ou le risque de liquidité - doivent être systématiquement traités comme du risque opérationnel et intégrés dans le calcul des pertes et de l'indicateur d'activité.

Par ailleurs, le « mapping » des processus métier, tel que défini à l'Article 7(3)(a), est désormais explicitement désigné comme un outil de détection des zones de faiblesse des contrôles. L'alignement sur la taxonomie officielle du CRR (Article 317(9)) demeure le standard privilégié pour assurer la comparabilité des profils de risque au sein de l'Union.

7. Conclusion et calendrier de consultation

Le projet de RTS EBA/CP/2026/18 pose les jalons d'une gestion des risques opérationnels plus intégrée, tenant compte des réalités technologiques et des enjeux de durabilité.

Les parties prenantes sont invitées à soumettre leurs observations jusqu'au 31 décembre 2026. À l'issue de cette période, l'EBA finalisera le projet avant sa soumission à la Commission Européenne pour adoption définitive. Les institutions sont encouragées à anticiper dès à présent la mise en conformité de leur taxonomie et de leurs dispositifs de collecte de données, notamment pour intégrer les drivers ESG et les exigences de reporting accrues.