La SS1/23 de la PRA en pratique

Par Jonas Mohamed Osman Abdelghafour.

La SS1/23 de la PRA définit cinq principes pour la gestion du risque de modèle : identification et classification (tiering), gouvernance, développement et mise en œuvre, validation indépendante, et gestion du risque de modèle à partir du déploiement. À première vue, ils semblent décrire ce que la plupart des banques font déjà. Appliqués honnêtement, ils révèlent les endroits où un cadre existe sur le papier mais pas dans le modèle opérationnel.

Principe 1 : on ne peut gérer ce que l'on n'a pas défini

L'identification des modèles est l'étape où les mises en œuvre échouent le plus souvent, car la définition est souvent restreinte pour garder un inventaire gérable. La conséquence est un parc fantôme — des feuilles de calcul qui fixent des ajustements de prix, des moteurs de règles déterministes en matière de criminalité financière, des outils de fournisseurs dont personne n'a inspecté les calculs, et de plus en plus, des assistants d'IA intégrés aux logiciels de flux de travail.

Une approche défendable définit un modèle par l'utilisation de son résultat et applique un traitement proportionné via une classification par niveaux (tiering). Le niveau 1 (Tier 1) fait l'objet d'une validation indépendante complète et d'une revue annuelle ; les niveaux inférieurs font l'objet d'un enregistrement, d'un ownership et d'une évaluation périodique plus légère. Le test de la définition est simple : si un superviseur choisissait n'importe quelle décision affectant matériellement les résultats, le capital ou les clients, pourriez-vous nommer les modèles qui la sous-tendent ?

Principe 2 : la gouvernance, c'est la responsabilité, pas les comités

La SS1/23 attend d'un cadre supérieur (senior manager) qu'il soit responsable du risque de modèle en tant que type de risque distinct, avec une visibilité au niveau du conseil d'administration. En pratique, cela signifie un dirigeant responsable nommé, une politique dotée de réels pouvoirs sur l'utilisation non approuvée, et une appétence pour le risque de modèle exprimée de manière plus utile pour la décision qu'un simple « faible ». Les déclarations d'appétence efficaces combinent généralement des limites sur l'exposition Tier 1 non validée, des tolérances pour les conclusions en retard, et des conditions explicites dans lesquelles un modèle doit être restreint ou retiré.

Principe 3 : la discipline de développement avant la validation

La validation indépendante ne peut pas réparer un développement mal documenté. La norme de développement devrait exiger une déclaration de l'utilisation prévue, le lignage des données (data lineage), les alternatives rejetées, les preuves de tests, les limites connues et les contrôles compensatoires attachés à chaque limite. Les limites sont la section la plus négligée et pourtant la plus utile : un modèle dont les frontières sont clairement définies et les restrictions d'utilisation appliquées est plus sûr qu'un modèle dont les faiblesses sont découvertes en production.

Principe 4 : ce que signifie un « challenge effectif »

La validation apporte de la valeur en testant ce que le développeur ne pouvait pas ou ne voulait pas tester. Les questions productives portent sur la solidité conceptuelle compte tenu de l'utilisation prévue, la sensibilité des résultats aux hypothèses matérielles, la qualité et la représentativité des données, la performance sous stress et à travers les segments, et la question de savoir si la surveillance détectera réellement une détérioration. Recalculer les opérations du développeur prouve l'arithmétique, pas la solidité.

L'indépendance doit être structurelle — ligne hiérarchique, budget et autorité pour imposer des conditions ou bloquer l'utilisation — faute de quoi le « challenge effectif » devient purement éditorial.

Principe 5 : la vie après le lancement

L'essentiel du risque de modèle se réalise bien après l'approbation. Un régime post-implémentation opérationnel spécifie, par modèle, ce qui est surveillé, à quelle fréquence, par rapport à quels seuils, et ce qui se passe lorsqu'un seuil est franchi. Les réponses aux violations doivent être convenues à l'avance : recalibrage, ajustement (overlay), restriction d'utilisation ou retrait. Les ajustements post-modèle méritent une attention particulière — ils constituent un outil légitime à court terme et un moyen courant pour que le jugement non modélisé devienne permanent et sans responsable attitré.

Où les mises en œuvre font défaut

• L'inventaire est une liste, pas un contrôle. Personne ne le réconcilie avec les systèmes de production.
• Les conclusions vieillissent. Les conclusions de validation en retard sont l'indicateur avancé le plus clair d'un cadre qui ne fonctionne pas.
• La classification fait l'objet de négociations. Si les lignes métiers peuvent négocier leur passage à un niveau inférieur, la matérialité est devenue une conversation budgétaire.
• Les modèles de fournisseurs sont exemptés en pratique. Un accès limité au fonctionnement interne est une raison pour des tests compensatoires, pas pour ignorer l'évaluation.
• Le reporting au conseil compte les modèles. Il devrait rapporter l'exposition, la dérive et les décisions en suspens.

Un séquençage pragmatique

Les institutions qui construisent ou reconstruisent un cadre progressent généralement davantage en assainissant le parc existant avant d'affiner la méthodologie : compléter et réconcilier l'inventaire, assigner des responsables, classer par matérialité, combler l'écart de validation du Tier 1, puis investir dans l'automatisation de la surveillance. Une méthodologie de validation sophistiquée appliquée à un inventaire incomplet ne protège rien.

La SS1/23 valorise les preuves. Les institutions qui la mettent bien en œuvre ne sont pas celles qui ont les politiques les plus longues ; ce sont celles qui peuvent montrer, n'importe quel jour, quels modèles sont actifs, qui les possède, comment ils se comportent et ce que la direction fera ensuite.

Sources primaires : Bank of England / PRA Supervisory Statement SS1/23, Model risk management principles for banks.