RegWatch n°26 - Toute l'actualité sur la réglementation prudentielle bancaire et finance durable

A la une ce mois-ci

Alors que l’accent réglementaire se déplace de plus en plus de l’élaboration des règles vers leur mise en œuvre, les autorités européennes accordent une importance accrue à la résilience opérationnelle, à la cybersécurité, à la préparation à la résolution et à une gouvernance efficace des risques. Une attention particulière est accordée aux risques découlant des modèles d’IA de pointe, les régulateurs avertissant que les cybermenaces basées sur l’IA pourraient amplifier considérablement l’ampleur, la vitesse et la sophistication des attaques contre le secteur financier. Dans ce contexte, les efforts en cours visant à renforcer la compétitivité du secteur bancaire de l’UE cherchent à trouver un équilibre entre simplification, innovation et exigences prudentielles rigoureuses.

Naviguer dans un paysage réglementaire bancaire européen en constante évolution : points clés en juillet et août 2026

L’Union européenne en bref

ABE

Appel à une gouvernance renforcée et à une surveillance cohérente pour atténuer les risques liés aux technologies de l’information et de la communication (TIC) découlant des modèles d’IA de pointe dans le secteur financier de l’UE

 À la suite d’une alerte générale émise en juillet par le Comité européen du risque systémique (CERS), les AES avertissent que les modèles d’IA de pointe renforcent rapidement la capacité des pirates à identifier les vulnérabilités et à mener des cyberattaques sophistiquées. Si l’IA peut, à terme, améliorer la cybersécurité, elle est susceptible, à court terme, d’accroître les risques cybernétiques pour les établissements financiers. La déclaration souligne également les inquiétudes concernant la dépendance de l’Europe vis-à-vis d’un petit nombre de fournisseurs d’IA, pour la plupart situés hors de l’UE.

L’Agence de l’Union européenne chargée de la cybersécurité (ENISA) a également publié des recommandations à l’intention des autorités nationales de contrôle (ANC) afin de les aider, dans le cadre de leurs missions respectives, à développer les capacités opérationnelles nécessaires pour faire face aux menaces évoluant à la vitesse des machines.

 Les messages clés de l’ESA à l’intention des institutions sont les suivants :

• Les modèles d’IA de pointe redéfinissent le paysage des cybermenaces en augmentant la vitesse, l’ampleur et la sophistication des cyberattaques ;
• Les institutions doivent renforcer en conséquence leurs capacités en matière de cybersécurité et de résilience opérationnelle ;
• Les autorités de surveillance doivent prendre en compte ces risques en constante évolution dans leurs activités de surveillance ;
• Les cadres existants, notamment la directive DORA et la loi sur l’IA, constituent la base de la gestion de ces risques.

 Cette déclaration commune souligne un signal de surveillance fort indiquant que les établissements devraient intégrer les cybermenaces liées à l’IA de pointe dans leurs cadres DORA et de résilience opérationnelle, notamment en adaptant les processus de gestion des risques liés aux TIC : prévention, détection et gestion.

L’ABE lance une consultation sur un projet de normes techniques relatives à la gestion du risque opérationnel par les établissements

Conformément au nouvel article 323 du CRR, l’ABE a publié un projet de normes techniques de réglementation (RTS) visant à renforcer la gestion du risque opérationnel. Ce projet vise à créer un cadre européen harmonisé en matière de risque opérationnel, articulé autour de la gouvernance, des processus de gestion des risques et des systèmes d’évaluation des risques, en mettant fortement l’accent sur la surveillance indépendante, l’évaluation prospective des risques, la qualité des données, la résilience opérationnelle et la proportionnalité. Il comprend 15 articles et :

• S’applique à tous les établissements relevant du CRR, tant sur une base individuelle que consolidée ;
• Intègre la gestion des risques liés aux technologies de l’information et de la communication (TIC) ainsi que les dispositions relatives à la DORA dans le cadre de gestion des risques opérationnels.
• Exige la mise en place d’un cadre de gestion des risques opérationnels documenté et révisé périodiquement.
• Etablit un cadre d’appétit pour le risque opérationnel (RAF) proportionné à la taille et à la complexité de l’établissement ;
• Définit le processus de gestion des risques opérationnels de bout en bout (identification, évaluation, suivi, contrôle, atténuation, reporting) ;
• Exige un système d’évaluation des risques opérationnels s’appuyant sur des méthodologies et des données appropriées.
• Définit des exigences en matière de collecte et d’analyse des événements de risque opérationnel et des données sur les pertes.
• Impose l’utilisation d’outils prospectifs tels que les RCSA, les KRI, les analyses de scénarios et les tests de résistance.
• Exige une taxonomie cohérente des risques opérationnels à l’échelle de l’établissement.
• Exige une fonction indépendante de gestion des risques opérationnels de deuxième ligne.
• Mise en place de mécanismes réguliers de reporting et d’escalade pour le risque opérationnel.
• Exige la mise en place de procédures de conformité et une validation indépendante du cadre et des méthodologies.
• Exige des audits périodiques du cadre de gestion du risque opérationnel.
• Définit des exigences de gouvernance pour les activités d’audit et de validation.
• Exige une gouvernance solide des données relatives au risque opérationnel, des contrôles et des flux de données traçables.

L’ABE lance une consultation sur des règles visant à renforcer encore la protection des déposants dans le cadre de la directive révisée sur les systèmes de garantie des dépôts

L’ABE a lancé quatre consultations dans le cadre de la directive révisée sur les systèmes de garantie des dépôts (DGSD3), visant à renforcer la protection des déposants et à harmoniser les pratiques des systèmes de garantie des dépôts (SGD) dans toute l’UE. Les propositions portent sur les informations à fournir aux déposants, l’échange d’informations en cas de défaillance bancaire, la protection des fonds des clients détenus par des intermédiaires et les règles d’investissement applicables aux fonds des SGD. Les principaux points à retenir pour les banques sont les suivants :

• Amélioration de la communication avec les déposants : les banques devront fournir des informations plus standardisées et harmonisées sur la protection des dépôts, tant lors de l’ouverture du compte que tout au long de la relation client.
• Meilleure préparation opérationnelle aux défaillances bancaires : les établissements pourraient devoir adapter leurs systèmes et processus afin de permettre un partage d’informations plus structuré et plus rapide avec les systèmes de garantie des dépôts et les autorités, facilitant ainsi des remboursements plus rapides en cas de résolution ou d’insolvabilité.
• Exigences supplémentaires en matière de données relatives aux fonds des clients : les banques détenant des fonds de clients via des comptes omnibus ou des comptes d’intermédiaires devront peut-être s’assurer qu’elles sont en mesure d’identifier les bénéficiaires sous-jacents et de fournir les informations requises aux fins du remboursement par les systèmes de garantie des dépôts.
• Une plus grande transparence et une meilleure harmonisation au sein de l’UE : ces propositions devraient réduire les divergences nationales et contribuer à des dispositifs de protection des déposants plus cohérents entre les États membres.

Bien que l’essentiel de l’impact retombe sur les systèmes de garantie des dépôts eux-mêmes, les banques devraient anticiper les changements concernant les informations à fournir aux déposants, la gestion des données et les processus opérationnels soutenant le remboursement des déposants et la préparation à la résolution.

BCE

La BCE publie les résultats du test de résistance inversé sur les risques géopolitiques de 2026

La BCE a publié les résultats de son test de résistance inversé portant sur les risques géopolitiques à l’horizon 2026, qui couvre 110 banques de la zone euro placées sous sa supervision directe. Cet exercice visait à évaluer la capacité des banques à identifier des scénarios géopolitiques graves mais plausibles susceptibles d’avoir une incidence significative sur leur situation en matière de fonds propres et leur résilience.

Principales conclusions :

• Les banques ont généralement été en mesure d’élaborer des scénarios de crise géopolitiques crédibles et spécifiques à chaque établissement, reflétant leurs principales vulnérabilités.
• Cet exercice a mis en évidence des faiblesses dans les cadres de tests de résistance de certaines banques, notamment en ce qui concerne la conception des scénarios, la sensibilité aux risques, les interactions entre solvabilité et liquidité, ainsi que le réalisme des mesures prises par la direction en situation de crise.
• Les scénarios couvraient un large éventail de chocs géopolitiques, notamment les conflits militaires, les perturbations commerciales, les sanctions, les chocs liés à l’énergie et aux chaînes d’approvisionnement, les incidents cybernétiques et les tensions macroéconomiques.
• La BCE souligne l’importance de renforcer les capacités des banques en matière de gestion prospective des risques dans un contexte d’incertitude géopolitique accrue.

Le message global de la BCE porte davantage sur les attentes en matière de gestion des risques que sur l’adéquation des fonds propres. Les banques doivent s’attendre à ce que les autorités de surveillance continuent de se concentrer sur leur capacité à identifier, quantifier et gérer les risques géopolitiques grâce à des cadres internes solides de tests de résistance et d’analyse de scénarios. La BCE indique que la gestion des risques géopolitiques devient une attente centrale des autorités de surveillance, l’accent étant davantage mis sur l’analyse de scénarios spécifiques à chaque établissement plutôt que sur les tests de résistance réglementaires standardisés.

Lettre aux PDG concernant les menaces de cybersécurité liées à l’IA

La BCE attend des banques d’importance systémique qu’elles réévaluent immédiatement l’impact des cybermenaces liées à l’IA et qu’elles renforcent leur cyber-résilience, en s’appuyant sur les exigences de la directive DORA.

Les principales attentes de la BCE sont les suivantes :

• Accélérer la gestion des vulnérabilités afin de suivre le rythme de l’exploitation de plus en plus rapide des failles par l’IA.
• Renforcer la surveillance, la détection et les capacités défensives basées sur l’IA.
• Renforcer la gestion des risques liés aux tiers et à la chaîne d’approvisionnement, en particulier pour les fournisseurs de TIC critiques.
• Renforcer la gouvernance et la supervision de la direction, notamment en ce qui concerne les investissements dans les TIC, les ressources et les cadres de gestion de l’appétit pour le risque.
• Améliorer la résilience opérationnelle, la réponse aux incidents, la reprise après sinistre et les capacités de gestion de crise.

La BCE exige également des banques qu’elles soumettent, d’ici au 31 octobre 2026, un plan d’action spécifique détaillant les mesures concrètes, les responsabilités, les ressources et les délais de mise en œuvre.

CE/PE/Conseil

La Commission présente des mesures visant à renforcer le secteur bancaire européen et à soutenir la croissance

La Commission européenne a adopté une communication sur la compétitivité du secteur bancaire de l’UE, présentant des mesures visant à renforcer le marché unique bancaire.

Les principaux points à retenir sont les suivants :

• Achever le marché unique bancaire en réduisant les obstacles transfrontaliers, en facilitant l’allocation de capitaux et de liquidités au sein des groupes bancaires de l’UE et en favorisant la consolidation transfrontalière.
• Renforcer le cadre de l’Union bancaire grâce à une nouvelle approche de l’assurance-dépôts, à des dispositifs de résolution améliorés et à des mécanismes de soutien à la liquidité plus crédibles en cas de crise.
• Réajuster la mise en œuvre de Bâle III afin de tenir compte des spécificités de l’UE, notamment en réexaminant le seuil minimal de sortie, le traitement des entreprises non notées, les prêts hypothécaires, le financement de projets, le financement du commerce et les actifs logiciels.
• Lancer un vaste programme de simplification en réduisant la complexité réglementaire, en rationalisant les obligations de déclaration et de publication d’informations, en supprimant les chevauchements entre les cadres prudentiels, macroprudentiels et de résolution, et en limitant les charges réglementaires inutiles.
• Renforcer la compétitivité et l’innovation en soutenant la numérisation, en améliorant les conditions de financement des entreprises innovantes et à forte intensité de propriété intellectuelle, en réexaminant les règles de rémunération et en veillant à ce que le cadre réglementaire soutienne mieux la croissance, l’investissement et les priorités stratégiques de l’UE.

La Commission encourage les parties prenantes à lui faire part de leurs observations sur la communication. Elle analysera les réponses reçues, et le dialogue avec les parties prenantes se poursuivra en vue de la préparation du paquet législatif prévu pour le premier trimestre 2027.

SRB

Le SRB publie une version actualisée de ses orientations opérationnelles relatives aux rapports d’analyse des plans de réorganisation d’entreprise

Les nouvelles orientations opérationnelles du SRB concernant les rapports d’analyse des plans de réorganisation des activités (BRP AR) s’inscrivent dans le cadre de sa stratégie plus large visant à renforcer la préparation des banques à la résolution et à la gestion des crises. Ces orientations aident les banques à démontrer qu’après l’application d’un instrument de renflouement interne, elles seraient en mesure de rétablir leur viabilité à long terme grâce à un plan de réorganisation de l’activité crédible. Il est important de noter que l’ du SRB souligne que ce document n’introduit pas de nouvelles exigences, mais consolide et clarifie les attentes existantes dans le cadre de son dispositif « Attentes à l’égard des banques ».

Ces lignes directrices fournissent aux banques un cadre plus structuré pour évaluer et documenter leur modèle économique post-résolution, leurs dispositifs de gouvernance, leurs fonctions critiques, leur modèle de prestation de services, leurs options de réorganisation et leur viabilité à long terme. Elles s’accompagnent d’un modèle quantitatif destiné à améliorer la cohérence, la comparabilité et l’auto-évaluation entre les établissements. Ces lignes directrices s’inscrivent également dans la réorientation plus large du SRB, qui passe de la planification de la résolution à la mise en œuvre, aux tests de résolvabilité et à la préparation aux crises, comme le prévoit sa stratégie « SRM Vision 2028 ».

Autres

AMLA : FAQ sur le dossier de déclaration visant à identifier les entités provisoirement éligibles

L’AMLA a publié un document répondant aux questions les plus fréquemment posées concernant le dossier de déclaration relatif à l’identification des entités assujetties provisoirement éligibles à la supervision directe. Ce document vise à aider les entités assujetties tout au long des collectes de données organisées au niveau national.

Cette FAQ rassemble les questions reçues des autorités nationales de surveillance financière et aborde les principaux points d'interprétation, les précisions opérationnelles et les questions pratiques liées à la mise en œuvre. Elle est conçue comme un outil de travail destiné aux personnes chargées de préparer les rapports, afin de les aider à rendre compte de manière précise et efficace.

Autres thèmes européens et internationaux

L’Actualité française en bref

ACPR

Déclarations de conformité aux orientations de l’ABE

L’ACPR se déclare conforme aux orientations suivantes :

• Critères d’identification des entreprises de services auxiliaires (2026-01)
• Méthodes de diversification proportionnées de la clientèle de détail (2026-02)
• Instruments dont disposent les TCB et qui peuvent être utilisés immédiatement et sans restriction pour couvrir les risques ou les pertes (2026-03)

Autres

Publication au Journal officiel de l’arrêté du 29 juillet 2026 relatif à la transposition de la directive CRD VI

L’arrêté du 29 juillet 2026 relatif à la transposition de la directive (UE) 2024/1619 modifiant la directive 2013/36/UE en ce qui concerne les pouvoirs de surveillance, les sanctions, les succursales de pays tiers et les risques environnementaux, sociaux et de gouvernance a été publié au Journal officiel. Cette publication marque l’achèvement de la transposition de la CRD VI, après l’entrée en vigueur d’une ordonnance et d’un décret d’application.

Ledit arrêté apporte des modifications à l’ensemble des arrêtés existants mettant en œuvre la directive CRD IV :

• Contrôle interne ;
• Réserves de fonds propres ;
• Processus de surveillance prudentielle ;
• Opérations bancaires à l’intention des personnes physiques résidant en France ;
• Régime prudentiel des succursales de pays tiers ;
• Acquisition d’une branche d’activité significative ;
• Prise de participations ;
• Agrément des établissements.

Acronymes

RESTEZ INFORMÉ(E) DE L'ACTUALITÉ BANCAIRE, ABONNEZ-VOUS A REGWATCH.