« Covid 19 », mouvement des gilets jaunes, grèves dans les transports, autant d’événements récents qui ont mis en exergue les fragilités des dispositifs de contrôle et de supervision des services financiers et la nécessité de les repenser.
La majorité de ces failles sont en réalité chroniques et enracinées depuis des années et ces crises n’ont été que des révélateurs salutaires.
Les entreprises ont dû faire face ces derniers mois à des difficultés croissantes pour organiser et gérer leurs activités. Le point d’orgue fut certainement le confinement lié à la pandémie du Covid 19 qui a généralisé le travail à distance, provoqué la fermeture des lieux de production ou de distribution, raréfié les personnels disponibles et exacerbé les risques.
Ainsi, les communications des diverses autorités de supervision financière ou des groupes de travail internationaux tels le GAFI ont tous publié des études ou des communiqués alertant professionnels et clients sur les risques liés à cette situation, témoignant ainsi d’un besoin de renforcement de la vigilance générale.
Alors, quid du dispositif de contrôle ? A ce stade, les impacts liés aux incidents sont soit non divulgués ou en cours d’étude mais les faits sont là, et force est de constater que le contrôle interne n’a pas répondu aux besoins
En premier lieu, les contrôles opérationnels ont pratiquement été interrompus, ou n’ont pas fonctionné de manière optimale. Plusieurs raisons à cela : la difficulté d’accès à l’information l’impossibilité de réaliser ces contrôles à distance, ou encore le manque de personnel ont altéré le principe de séparation des fonctions et dégradé le processus délégataire.
Pourtant, ces contrôles sont essentiels, comme le précise l’Autorité Bancaire Européenne* dans ses lignes directrices** : « il convient de rappeler que les métiers ou les unités, en tant que première ligne de défense, ont un rôle important à jouer pour assurer une gestion des risques et une conformité solide au sein d'une institution ».
L’article 29 complète : « Les métiers, en tant que première ligne de défense, prennent des risques et sont responsables de leur gestion opérationnelle de manière directe et permanente. À cette fin, les secteurs d'activité devraient disposer de processus et de contrôles appropriés visant à garantir que les risques sont identifiés, analysés, mesurés, surveillés, gérés, déclarés et maintenus dans les limites de l'appétit pour le risque de l'établissement et que les activités commerciales sont conformes avec des exigences externes et internes ».
Ensuite, les contrôles de vérification (ou contrôle de niveau 2) ont été réalisés de façon erratique et incomplète.
Deux raisons principales sont avancées : la raréfaction ou indisponibilité des ressources humaines et le fait que ces contrôles soient trop souvent planifiés de façon ponctuelle, par campagne. Cela implique généralement, qu’à chaque situation exceptionnelle (grève, crise sanitaire, etc.), la campagne de contrôle se fige, ce qui paralyse la supervision des contrôles.
Enfin, les audits ont été souvent réduits à la seule sphère comptable ou aux missions en cours. Pratiquement aucun autre univers d’audit n’est contrôlé en période d’évènements inhabituels malgré l’augmentation des alertes : danger sur la confidentialité des informations échangées à distance, cyberattaques, difficultés de continuité d’activités des sous-traitants, augmentation des risques de fraude ou de conflits d’intérêt, etc.
Ainsi que ce soit le contrôle à priori ou les lignes de défense a posteriori, il semble difficile de se satisfaire de ce constat, tant au niveau des professionnels du secteur que pour les superviseurs dont une analyse de la période est attendue. Le régulateur britannique avait déjà posé les bases de la réflexion fin 2019 avec sa communication sur la résilience opérationnelle du secteur financier.***
Alors, pourquoi après une telle intensité réglementaire et des années d’investissement, la prévention des risques reste un tel sujet de préoccupation dans le secteur financier ?
Nous vous proposons d’aborder ce sujet lors de notre prochain article.
* ABE ou EBA, European Banking Authority
** Guidelines on internal governance under Directive 2013/36/EU, 26 September 2017
*** ”Building operational resilience: impact tolerances for important business services“ ; 05 décembre 2019 et 30 mars 2020
Auteurs : Eric Berdeaux, CEO, Founder, Oxial
Didier Alleaume, Associé, hub Services Financiers, Grant Thornton