La gouvernance interne a concentré 17 % des mesures qualitatives du SREP 2025 de la BCE, et aucun établissement important n'y obtient mieux que 2-. Ce n'est pas une affaire de procédures manquantes : les établissements constituent un dossier présentable là où le superviseur teste un contrôle qui fonctionne.
La préparation d'une mission sur place se réduit presque toujours à un exercice documentaire. On rafraîchit les politiques, on indexe les dossiers de comité, on réimprime la déclaration d'appétit au risque avec le millésime en couverture. Tout cela répond à une question que les superviseurs ont cessé de poser depuis longtemps. Celle qu'ils posent effectivement est plus étroite et nettement plus exigeante : le contrôle fonctionne-t-il, sur l'intégralité de la population qu'il prétend couvrir, en laissant une trace qu'un tiers puisse suivre sans avoir à croire quiconque sur parole. L'écart entre le dossier et le contrôle fabrique les constats, et les équipes d'inspection sont devenues très efficaces pour le localiser.
Les chiffres agrégés suffisent à en juger. Lors du cycle SREP 2025 de la BCE, qui a porté sur 105 établissements importants, la gouvernance interne a concentré 17 % des mesures qualitatives notifiées, derrière le seul risque de crédit (40 %). La note moyenne de gouvernance interne s'est améliorée à 2,77 contre 2,83, ce qui ressemble à un progrès jusqu'à ce que l'on observe que 36 % des banques demeurent à 3 et qu'aucune n'atteint 2+ ou mieux sur cet élément. La gouvernance reste le domaine où les notes bougent le moins. L'absence de politiques écrites n'y est pour rien.
Ce que la révision de 2020 a retiré à l'organigramme
En juillet 2020, l'Institute of Internal Auditors a republié son modèle en abandonnant la mention de défense et, ce qui pèse davantage en pratique, en cessant de décrire les lignes comme des lieux. Le Three Lines Model révisé décrit des rôles : la surveillance exercée par l'organe de gouvernance, des rôles de première et de deuxième ligne relevant tous deux de la direction, et l'assurance indépendante de l'audit interne. Un établissement ne peut donc plus répondre à une objection prudentielle en désignant une case sur un organigramme. Lorsqu'un contrôle est conçu, calibré et surveillé par ceux-là mêmes qui exécutent l'activité sous-jacente, le rôle de deuxième ligne n'est pas tenu, quelle que soit la ligne hiérarchique affichée.
Le droit européen avait déjà pris cette direction. L'orientation EBA/GL/2021/05 du 2 juillet 2021 énonce, à son paragraphe 175, quatre conditions cumulatives pour qu'une fonction de contrôle interne soit tenue pour indépendante : son personnel n'exerce aucune tâche opérationnelle relevant du périmètre qu'il surveille ; elle est séparée, sur le plan organisationnel, des activités contrôlées ; son responsable n'est subordonné à personne qui dirige ces activités ; sa rémunération n'est pas liée à la performance de ce qu'elle contrôle. C'est la dernière condition qui cède le plus discrètement. Un responsable de la conformité dont la part variable suit les résultats commerciaux de la direction qu'il examine souffre d'un défaut d'indépendance qu'aucune charte ne répare.
Les rattachements se vérifient de la même façon. Le paragraphe 172 exige que les responsables de la gestion des risques, de la conformité et de l'audit interne rendent compte directement à l'organe de direction, lequel évalue leur performance. Le paragraphe 174, qui reprend l'article 76(5) de la directive 2013/36/UE, est plus sec encore : le responsable de la fonction de gestion des risques ne peut être révoqué sans l'accord préalable de l'organe de direction dans sa fonction de surveillance. En matière de lutte contre le blanchiment, l'orientation EBA/GL/2022/05, applicable depuis le 1er décembre 2022, impose de désigner nommément un membre de l'organe de direction porteur de la responsabilité ultime et situe le responsable de la conformité LBC-FT en deuxième ligne, avec accès direct au conseil. L'arrêté du 3 novembre 2014 pose la même exigence en droit français, en imposant une stricte indépendance entre les unités qui engagent les opérations et celles qui les valident et en assurent le suivi. Ces textes ne se lisent pas comme des intentions ; ils se vérifient. Qui a signé la dernière évaluation du responsable de la conformité, et l'organe de surveillance en a-t-il eu connaissance ?
Un dispositif conçu et un dispositif opérant ne se testent pas ensemble
Un contrôle conçu vit dans une procédure : un propriétaire, une périodicité annoncée, une vérification décrite. Un contrôle opérant laisse à chaque occurrence une trace comportant au minimum une date, un périmètre, une personne, un résultat et, lorsque ce résultat est défavorable, la décision prise et ce qui en a découlé. Les deux se testent séparément. C'est le second test que les établissements perdent.
Prenons la revue périodique des relations à risque élevé. La conception pose rarement problème. L'exploitation se tranche par deux questions. L'exhaustivité de la population d'abord : combien de relations sont entrées dans le périmètre sur la période, extraites de quel système, rapprochées de quoi. Lorsque le décompte figurant au rapport de risque diffère de celui du système opérationnel, la discussion a déjà quitté le terrain de la LBC-FT pour celui de la gouvernance des données, et cela avant qu'un seul dossier n'ait été ouvert. Les résultats du sondage ensuite. L'inspecteur tirera une vingtaine de dossiers, délibérément pondérés vers les cas difficiles, et lira ce qui a été écrit là où la chaîne de détention restait opaque ou le client peu coopératif. Un dossier propre n'établit presque rien. Le dossier délicat, lui, montre comment le contrôle se comporte sous contrainte.
L'exhaustivité est la moitié négligée de ce couple. La BCE a écrit sans détour que les progrès en matière d'agrégation des données de risque et de reporting des risques demeurent lents et insuffisants, en citant l'absence de priorisation au niveau du conseil, une architecture de données et des infrastructures informatiques inadaptées, ainsi que des lacunes dans les contrôles de qualité des données ; elle ajoute que les programmes de remédiation manquent souvent de l'ambition nécessaire. Le sujet RDARR a représenté 20 % des mesures qualitatives de gouvernance interne en 2025, à égalité avec le cadre de gestion des risques et juste derrière l'organe de direction (23 %). Les priorités prudentielles 2026-2028 annoncent des inspections sur place ciblées sur les dispositifs RDARR et sur les constats sévères déjà relevés. Un établissement incapable de rapprocher ses propres populations doit s'attendre à ce que l'ensemble des travaux de sa deuxième ligne soit écarté.
Des limites qui n'engagent personne
Le cadre d'appétit au risque est l'endroit où la deuxième ligne devient le plus souvent décorative. Une déclaration est approuvée par le conseil, exprimée en ratios agrégés, puis jamais déclinée en quoi que ce soit qu'un responsable métier ressente un mardi matin. Les superviseurs l'ont vérifié frontalement. Entre le quatrième trimestre 2024 et le deuxième trimestre 2025, la BCE a comparé les cadres d'appétit au risque de 28 banques, exercice étendu à une vingtaine d'établissements importants supplémentaires à compter du troisième trimestre 2025. La plupart des cadres ont été jugés matures. Les manques relevés sont précis : le processus de gouvernance entourant le cadre, la couverture effective de certains risques non financiers, l'alignement entre l'identification des risques et l'appétit, la granularité des indicateurs et des limites, le lien entre la politique de rémunération et l'appétit. La granularité désigne, techniquement, le fait de savoir si la limite atteint celui qui peut la franchir.
Vient ensuite l'indicateur produit puis absorbé. Un seuil est franchi, le dépassement figure au dossier de séance, le procès-verbal indique que le comité en a pris acte, et rien ne bouge par la suite. C'est pire que de ne pas mesurer, puisque l'établissement documente mois après mois qu'il a vu une position se dégrader sans rien décider. Les inspecteurs expérimentés lisent les séries d'indicateurs à rebours pour cette raison précise : repérer le mois où la valeur a viré, puis chercher ce qui a changé ensuite. Si la seule réponse est une note de bas de page, la deuxième ligne a construit un dispositif de reporting qu'elle prend pour un contrôle.
L'escalade se vérifie par le niveau hiérarchique et par les dates. Qui a été informé, à quel niveau, combien de jours ouvrés après la détection, et de quel pouvoir cette personne disposait. Une chaîne d'escalade qui s'achève devant un comité dépourvu du pouvoir d'arrêter l'activité n'en est pas une.
Constat, faiblesse, et le plan qui a glissé
Les établissements confondent volontiers le constat et la faiblesse ; les superviseurs jamais. Un constat est une observation assortie d'éléments probants. Une faiblesse est la conclusion qu'un contrôle n'atteint pas son objectif, et elle porte une cotation de gravité, un responsable nommé et une échéance. Requalifier une faiblesse en simple constat par un adoucissement de vocabulaire est une manœuvre connue, dont le coût l'est tout autant : lorsque le même sujet reparaît au cycle suivant, l'adoucissement antérieur devient un élément d'appréciation sur la gouvernance et non plus sur le sujet d'origine.
Le suivi de la remédiation est l'endroit où ce coût se cumule. Un plan portant un trimestre cible et un nom de direction glissera. Un plan désignant une personne, assorti de jalons intermédiaires, d'une définition des éléments de clôture et d'une validation par une fonction autre que celle qui a remédié, tient généralement. La BCE a du reste institué un processus défini de remédiation et d'escalade afin de suivre les progrès dans la durée, et les points ouverts hérités des cycles antérieurs se lisent comme une appréciation portée sur la direction plutôt que sur le thème concerné.
Le règlement COBAC R-2016/04 relatif au contrôle interne dans les établissements de crédit et les holdings financières procède de la même logique en imposant un contrôle permanent qui vérifie, selon une périodicité adaptée aux risques, la régularité et la conformité des opérations et des dispositifs de premier niveau. La proportionnalité y est admise ; l'absence de preuve, jamais. Vingt ans de doctrine bâloise disent au fond la même chose : le document de 2005 sur la fonction de conformité exigeait déjà de chaque banque qu'elle démontre l'efficacité de l'approche retenue, exigence reprise en 2015 pour la fonction de gestion des risques. Les établissements y lisent une description de structure. Le superviseur y lit une exigence de preuve.
Les huit semaines qui précèdent, employées autrement
Cesser de rafraîchir les politiques. Retenir les six contrôles qui pèsent le plus dans ce que la deuxième ligne affirme au conseil et produire, pour chacun, une page unique indiquant la population et son mode d'extraction, le rapprochement avec les systèmes sources, l'échantillon testé et ses résultats, les anomalies relevées, les escalades avec noms et dates, l'état de la remédiation avec son responsable. Le faire avant l'arrivée de l'équipe d'inspection, et traiter tout contrôle pour lequel cette page ne peut être constituée en cinq jours ouvrés comme une faiblesse que l'on vient d'identifier soi-même. Puis le dire en réunion d'ouverture, échéances à l'appui. Un établissement qui remet sa propre liste de contrôles fragiles change la nature de la mission : le travail de l'équipe consiste alors à vérifier plutôt qu'à découvrir, les sondages se resserrent, les conclusions arrivent plus vite. Les établissements qui sortent bien des inspections sont, avec une régularité remarquable, ceux qui ont trouvé le problème les premiers.
Sources
Banque centrale européenne, Aggregated results of the 2025 SREP, novembre 2025. Banque centrale européenne, Supervisory priorities 2026-28, novembre 2025. Autorité bancaire européenne, Orientations sur la gouvernance interne au titre de la directive 2013/36/UE (EBA/GL/2021/05), 2 juillet 2021. Autorité bancaire européenne, Orientations relatives au rôle et aux responsabilités du responsable de la conformité LBC-FT (EBA/GL/2022/05), 14 juin 2022. Institute of Internal Auditors, The IIA's Three Lines Model: An Update of the Three Lines of Defense, juillet 2020. Comité de Bâle sur le contrôle bancaire, Compliance and the compliance function in banks, avril 2005. Comité de Bâle sur le contrôle bancaire, Corporate governance principles for banks, juillet 2015. COBAC, Règlement R-2016/04 relatif au contrôle interne dans les établissements de crédit et les holdings financières, 2016.