Comment refondre un ICAAP après les remarques du régulateur ?

Par où commencer quand le superviseur a émis des remarques sur l'ICAAP ?

Il faut commencer par trier les remarques, avant toute réécriture. Une remarque sur la gouvernance ne se traite pas comme une remarque sur un paramètre de stress, et confondre les deux conduit à corriger le rapport sans corriger le dispositif.

Lors d'une refonte récente pour une banque marocaine, nous avons classé chaque observation du régulateur selon quatre familles : la gouvernance et les responsabilités, le périmètre et le profil de risque, la méthodologie de mesure et de stress, et enfin la documentation. Ce tri a montré que la majorité des remarques relevaient des deux premières familles. Le rapport n'était que le symptôme.

Chaque remarque a ensuite été rattachée à un livrable, un responsable et une échéance. Ce tableau de correspondance sert de fil conducteur pendant toute la refonte et facilite la réponse finale au superviseur.

Comment renforcer la gouvernance de l'ICAAP ?

La gouvernance est solide quand chaque acteur sait ce qu'il produit, ce qu'il challenge et ce qu'il approuve. Dans beaucoup de banques, l'ICAAP est rédigé par une seule équipe et validé formellement, sans débat réel en comité.

Nous avons formalisé une répartition des rôles qui distingue la fonction risques, qui pilote et conteste les hypothèses, la direction financière, qui porte la planification des fonds propres, les métiers, qui fournissent les projections d'activité, et l'audit interne, qui revoit le dispositif. Le comité des risques examine les résultats avant leur présentation à l'organe d'administration.

Le calendrier annuel a aussi été réécrit. Les projections budgétaires, les stress tests et l'évaluation des besoins en fonds propres s'enchaînent désormais dans un ordre qui permet d'utiliser les résultats de l'ICAAP dans les décisions budgétaires, et non après.

Pourquoi repartir du profil de risque et du cadre d'appétence ?

Parce qu'un ICAAP qui se limite aux risques du pilier 1 ignore précisément ce que le pilier 2 doit couvrir. Le superviseur le relève presque toujours.

La mise à jour du profil de risque commence par la cartographie : quels risques sont matériels pour cette banque, avec son portefeuille, ses concentrations et son modèle de financement ? Le risque de concentration, le risque de taux du portefeuille bancaire, le risque de liquidité et le risque stratégique demandent chacun une méthode d'évaluation et, si besoin, une allocation de capital interne.

Le cadre d'appétence doit être relu en même temps. Les seuils de tolérance et d'alerte doivent être exprimés sur des indicateurs que l'ICAAP mesure réellement. Sans ce lien, l'appétence reste un document de principe et l'ICAAP un calcul isolé.

Comment rendre les stress tests de l'ICAAP cohérents avec ceux du PRCI ?

En partant d'un socle commun d'hypothèses et en graduant la sévérité. Le stress de l'ICAAP mesure la résistance du plan de capital à un choc sévère mais plausible ; le PRCI simule une crise plus profonde, jusqu'aux seuils qui déclenchent les mesures de redressement.

Dans la pratique, nous avons construit un jeu de scénarios unique, décliné en plusieurs niveaux d'intensité. Les variables macroéconomiques, les hypothèses de défaut par segment et les chocs de liquidité sont partagés. Le régulateur peut ainsi lire les deux documents sans relever de contradiction, et la banque n'entretient qu'un seul modèle de projection.

Les résultats des stress doivent ensuite produire une conséquence. Un besoin de capital identifié en scénario adverse doit se traduire par un coussin interne, une limite revue ou une mesure de gestion inscrite dans le plan de capital.

Que doit contenir le corpus normatif de planification des fonds propres ?

Il doit contenir au minimum une politique, une procédure et un plan de capital pluriannuel, reliés entre eux. La politique fixe les objectifs de solvabilité et les coussins internes ; la procédure décrit le calendrier, les intervenants et les contrôles ; le plan projette les fonds propres et les exigences sur l'horizon retenu, en scénario central et en scénario adverse.

Lors de la revue de ce corpus, nous vérifions trois points : la cohérence des objectifs internes avec les exigences réglementaires et les coussins, l'existence de mesures de gestion chiffrées en cas d'écart, et la traçabilité des décisions prises en comité. Un plan de capital sans mesures de gestion identifiées n'apporte pas de réponse au superviseur.

Comment rédiger le rapport ICAAP ?

Le rapport se rédige en dernier, à partir des travaux validés. Il expose la gouvernance, le profil de risque, la méthode d'évaluation de chaque risque matériel, les résultats des stress, le besoin de fonds propres et les conclusions de l'organe d'administration.

Nous ajoutons systématiquement une section qui reprend les remarques précédentes du régulateur et indique, pour chacune, la réponse apportée et le document où elle se trouve. Cette table de correspondance raccourcit la revue et montre que la banque a traité le fond des observations.

La rédaction elle-même gagne à rester sobre. Un rapport long, chargé de rappels réglementaires, noie les conclusions. Nous privilégions une synthèse de quelques pages en tête, signée par la direction générale, puis des chapitres techniques auxquels le superviseur peut se reporter. Les hypothèses retenues, leurs sources et leurs limites y sont exposées sans détour : le régulateur accepte plus volontiers une limite reconnue qu'une précision affichée sans justification.

Enfin, la refonte n'est terminée qu'une fois le dispositif utilisé. Le premier exercice ICAAP mené selon le nouveau cadre sert de test : les délais ont-ils été tenus, les comités ont-ils débattu des résultats, les conclusions ont-elles modifié le budget ou les limites ? Nous accompagnons en général ce premier cycle, puis la fonction risques le conduit seule. Une revue par l'audit interne, l'année suivante, permet de vérifier que le dispositif tient sans appui extérieur et que les remarques initiales ne réapparaissent pas.