Quand Bâle III change également la donne des SI

À chaque fonction, son application, ses serveurs, ses baies de stockage dédiées, NDLR.

Alors que Bâle II vient d’être intégré dans les systèmes d’informations bancaires, voici qu'arrivent les accords de Bâle III. Ils devraient entrer progressivement en vigueur à partir de 2013, avec la mise en œuvre des nouvelles normes prudentielles et des ratios de liquidité, LCR (Liquidity Coverage Ratio) et du NSFR (Net Stable Funding Ratio). Et si cette évolution change les méthodes opérationnelles des banques, le changement s'opère aussi au cœur même de leur système d’information, et plus exactement dans leur organisation des systèmes d’information.

Pour Yves Leroux, consultant chez CA technologies, le problème principal de Bâle II et de Bâle III est l’évaluation des risques opérationels pour déterminer les fonds propres dont doivent disposer les banques. « Les risques opérationnels comptent tous ceux liés au système d'information : matériel, mais également toutes les fraudes (externes comme internes). Or on voit que la fraude augmente, et avec elles, les problèmes d’interruption de l’activité et les pertes de données. Or dans l'accord il faut que les processus et les défaillances internes n'impactent pas la banque », note le spécialiste. De plus, Bâle III, à la différence de son prédécesseur, prévoit des tests de stress réguliers pour simuler toutes les situations à risque et valider la solidité des banques. « Aujourd'hui les structures informatiques  dans les banques sont en silos [À chaque fonction, son application, ses serveurs, ses baies de stockage dédiées, NDLR], or il va falloir déterminer comment et pourquoi un problème informatique a eu lieu, et où. Plus le système est complexe, plus c'est difficile, affirme Yves Leroux. Il va falloir faire un monitoring de l'ensemble des silos, puis déterminer les zones à risque et les suivre de près. Et mettre en place des processus de conformité.» Il faudra notamment suivre l’ensemble des processus alors qu’ils peuvent faire intervenir des silos différents et que des flux passent régulièrement de l’un à l’autre, une erreur dans l’un pouvant enclencher un effet domino dans tous les autres.

De l’informatique en silos à la surveillance des flux

Pour Jean-Charles Béraud, senior manager chez Sopra Group, c’est plus particulièrement la gestion de la liquidité, plus complexe dans Bâle III avec le LCR et le NSFR, qui « nécessite la mise en place d'un système d’information nouveau ou rénové selon les établissements. Au niveau de la DSI, il y a des changements importants. Il faut mettre en place un système de remontée d'information des flux et des critères d'éligibilité des titres pour mesurer les ratios, et cela va de pair avec la gestion intra-day de la liquidité (en temps réel, NDLR). L'évolution actuelle de la réglementation présente désormais une logique d'indicateurs stressés et de scénarii, les indicateurs statiques antérieurs ne suffisent pas et l'on doit obtenir désormais une famille d'indicateurs. Toutes les banques ont des entrepôts de données (ou datawares) pour qui, sortir des indicateurs classiques était relativement simple. Maintenant en situation de scénario, il faudra utiliser les datawares plusieurs fois dans la journée pour faire les simulations avec un impact lourd en matière de performance. Les datawares doivent être à la fois plus rapides et capables de gérer une volumétrie beaucoup plus importante. » Ce qui impliquera de faire évoluer le matériel, mais également, pour la DSI, de revoir ses périmètres, et l’agrégation de ses flux. Sans compter quelques « menus détails » comme  la collecte exhaustive et de qualité des données.

Au passage, les reportings imposés par Bâle III, plus encore que ceux de Bâle II, poussent les banques à s’intéresser de plus en plus à l’informatique décisionnelle, et du coup à rentabiliser les investissements imposés pour augmenter leur productivité. Geert Massa, vice-président en charge des services financiers pour MicroStrategy EMEA, un éditeur d’outils de reporting, y voit une vraie opportunité : « Les banques nous demandent plus de rapidité. Elles doivent être capables de prendre des décisions aussi vite que possible. Notamment pour la remise des rapports. Les clients viennent chez nous pour demander le support que l’on peut donner. Les outils que nous fournissons permettent des rapports rapides et des outils sur tous les canaux, y compris tablettes et smartphones. Les clients ne cherchent pas des solutions de A à Z, mais un cadre de travail pour leur permettre de développer eux-mêmes leurs propres solutions. »

Entre bricolage et refonte du SI, les banques sont prêtes

Faut-il paniquer pour autant face à l’ampleur de la tâche ? Pas réellement. Dominique Emery, product manager chez Avaloq, le souligne : « Les banques ont été confrontées à de nombreuses évolutions règlmentaires ces dernières années. Quand on a mis Bâle II en place, c’était la seule réglementation. Aujourd’hui, parallèlement à Bâle III, il y a d’autres textes à suivre, IFRS (International Financial Reporting Standard), taxation... Les banques sont confrontées à de nombreux changements en même temps. » Elles sont toutes plus ou moins bien préparées. Dominique Emery, dont la société suisse à une vue d’ensemble sur le marché européen, le constate : « Bâle II a été un élément important d’adaptation de l’informatique des banques françaises, mais d’après nos discussions avec nos prospects français, Bâle III est encore en cours d’analyse.  Par contre, en Suisse, les différentes banques ont pris les mesures nécessaires pour Bâle III et les banques équipées d’Avaloq ont déjà reçu les fonctionnalités nécessaires. Souvent, dans le cadre de changements réglementaires, les banques essaient de trouver des solutions pragmatiques de type rustines en développant une multitude de bases de données à l’extérieur de l’environnement principal pour traiter ces problématiques. Ces solutions peuvent apparaître au premier abord efficaces et peu coûteuses, mais elles réduisent en réalité significativement la transparence des données, et ajoutent d’importants risques opérationnels : maintenance des bases de données, disponibilité, cohérence des données, performance…  Les banques utilisant un système intégré n’ont pas seulement la garantie de voir ces réglementations prises en compte de manière cohérente et fiable, mais elles peuvent également tirer parti des effets positifs de ces modifications. » Jean-Charles Béraud de Sopra Group ne partage pas tout à fait ce point de vue : « Les grandes banques françaises sont souvent très avancées et seront à l'heure. La situation des petites banques est plus complexe. On attend toujours la réglementation qui n'est pas complètement finalisée et qui est devenue extrêmement politique : on est maintenant dans l’attente des décisions de la Commission européenne ou de propositions politiques de l'Allemagne et de la France pour aboutir à un régulateur européen. La surveillance européenne des établissements bancaires et la réglementation restent à inventer. »

Plus que les outils, les hommes sont au cœur du processus

En attendant, les outils pour le passage à Bâle III sont là, qu’ils s’agissent des produits construits par les éditeurs spécialisés, ou des solutions développées en interne dans les directions informatiques bancaires. Mais cela ne suffira pas, comme le rappelle Yves Leroux : « Des outils, il y en a plein, ce qu'il faut c'est que les hommes suivent les alertes données par le système pour en tenir compte. La machine ne fera que remonter l'alerte. Elle ne peut pas prendre la décision à la place des hommes. C'est comme l'alerte de vigilance sur un tableau de bord de voiture. La voiture ne peut pas se reposer ou boire un café à votre place. La technologie existe, mais il ne faut pas isoler les systèmes de contrôle et de vérification de conformité avec les hommes et le processus. Et traiter les alertes le plus rapidement. Ce qui semble extrêmement simple sur le papier, mais se révèle en pratique beaucoup plus dur. » Au-delà des préparatifs matériels et logiciels, Bâle III et les autres réglementations financières imposent de changer les processus humains au sein de la direction des services informatiques, mais également au sein des directions métiers. Les habitudes seront-elles facilement modifiables ?