Gouvernance des modèles : les trois lignes de défense

Par Jonas Mohamed Osman Abdelghafour.

La gouvernance des modèles est l'ensemble des dispositifs qui déterminent qui construit, utilise, challenge et assure les modèles sur lesquels une organisation s'appuie. Chez les assureurs et les banques, cette population inclut désormais les modèles de provisionnement, les modèles de capital, les modèles de mesure IFRS 9 et IFRS 17, les moteurs ALM et IRRBB, les algorithmes de tarification, et une part croissante de composants d'apprentissage automatique. Le cadre des trois lignes de défense (3LoD), publié sous forme actualisée par l'IIA en 2020, reste la structure de référence pour répartir la responsabilité entre ces modèles sans faire fusionner la propriété avec la surveillance.

Ce que chaque ligne fait réellement

La première ligne est propriétaire du modèle. Cela signifie spécifier l'usage métier, sourcer les données, développer ou configurer le modèle, produire les résultats, et défendre ces résultats devant la direction. La propriété de première ligne inclut le suivi de performance au quotidien et la documentation initiale des hypothèses, limites et faiblesses connues.

La deuxième ligne — typiquement une fonction de risque de modèle ou de validation indépendante — fixe la politique, tient l'inventaire des modèles, les classe par matérialité et réalise la validation indépendante. La validation n'est pas une répétition du développement. Son objectif est de challenger la solidité conceptuelle, de vérifier l'implémentation, de tester les résultats face à des référentiels alternatifs, et de confirmer que le modèle est adapté à l'usage déclaré. Le livrable est un avis de validation assorti de constats, de notations et de conditions d'utilisation.

La troisième ligne — l'audit interne — fournit une assurance périodique que le cadre lui-même est conçu et fonctionne efficacement. L'audit ne revalide pas les modèles. Il teste si l'inventaire est complet, si la classification est cohérente, si les constats sont suivis et clôturés dans les délais, et si les comités de gouvernance reçoivent une information exploitable.

Classification et proportionnalité

Un cadre opérant classe les modèles selon une combinaison de matérialité financière, de sensibilité réglementaire et d'exposition réputationnelle. Les modèles de niveau 1 — typiquement les modèles de capital, la CSM IFRS 17, et les modèles PD/LGD pour les portefeuilles significatifs — font l'objet d'une validation à périmètre complet, d'un suivi annuel, et d'un reporting au niveau du conseil. Les niveaux inférieurs peuvent être validés selon un cycle plus léger avec une documentation proportionnée. L'erreur à éviter est un régime uniforme qui soit submerge la deuxième ligne, soit laisse des modèles significatifs insuffisamment scrutés.

Documentation et éléments probants

Chaque modèle devrait comporter un dossier de développement documenté, un rapport de validation indépendant, un journal d'utilisation, et un dossier de suivi. Les constats sont consignés dans un registre central avec sévérité, propriétaire, plan de remédiation, contrôles compensatoires et date cible de clôture. La clôture exige des preuves, pas des affirmations. Voir la note complémentaire sur la remédiation du risque de modèle et la clôture des constats pour la manière dont cette discipline est opérationnalisée.

Modes d'échec courants

Trois schémas reviennent dans les revues. Premièrement, les équipes de deuxième ligne dérivent vers le co-développement parce que la première ligne manque de capacité ; cela efface discrètement l'indépendance. Deuxièmement, les avis de validation s'accumulent mais les constats ne se clôturent jamais, si bien que le registre devient un cimetière plutôt qu'un outil de gestion. Troisièmement, l'audit teste l'exhaustivité de la documentation sans jamais se demander si le modèle est utilisé pour les décisions pour lesquelles il a été conçu.

Rythme de gouvernance

Un rythme opérant comprend typiquement un comité risque de modèle mensuel au niveau de la direction, un reporting trimestriel au comité des risques du conseil, et une déclaration annuelle de risque de modèle qui résume l'inventaire, la couverture de validation, les constats ouverts et les limites significatives. Les attentes réglementaires pour les assureurs en modèle interne sous Solvabilité II et pour les banques sous SR 11-7 ou les lignes directrices TRIM de la BCE sont globalement cohérentes sur ce point.

Limites

Les 3LoD sont une structure, pas un contrôle en soi. Le cadre fonctionne lorsque les trois lignes disposent de mandats distincts, d'une autorité réelle et d'une profondeur technique suffisante. Il échoue lorsqu'une ligne est sous-dotée, lorsque les lignes hiérarchiques créent des conflits d'intérêts, ou lorsque le cadre est traité comme un artefact de conformité plutôt que comme une discipline de décision. La qualité de la gouvernance se mesure en définitive à la question de savoir si les limites des modèles sont visibles pour les décideurs avant, et non après, qu'elles comptent.

Conclusion

Le modèle des trois lignes donne aux organisations un moyen défendable de combiner propriété, challenge et assurance sur un parc de modèles en croissance. Sa valeur dépend moins du schéma que de la qualité du challenge de deuxième ligne et de la volonté de la première ligne de l'accepter. Notes de pratique connexes : la communication actuarielle pour les comités des risques et les tableaux de bord de suivi des modèles de risque de crédit.

---

Écrit par Jonas Mohamed Osman Abdelghafour, actuaire et gestionnaire des risques financiers. Parcours et coordonnées disponibles sur la page à propos.