Risque opérationnel CRR3 : l'EBA consulte, fenêtre d'audition avant le 25 septembre

Une fenêtre d'action courte avant une échéance de mise en conformité fixée à fin 2026

Le 26 août 2026, l'Autorité bancaire européenne (EBA) a publié une consultation sur un projet de normes techniques de réglementation (RTS) précisant le cadre de gestion du risque opérationnel que les établissements de crédit doivent mettre en place au titre de l'article 323 du règlement CRR3. Le texte fixe des exigences harmonisées et proportionnées de gouvernance, de processus de gestion et de systèmes pour identifier, évaluer, surveiller et gérer le risque opérationnel — un chantier qui touche directement les directions des risques, la fonction indépendante de gestion du risque opérationnel et, in fine, l'organe de direction.

Ce que couvre le projet de RTS

Le texte de l'EBA précise plusieurs volets du dispositif attendu :

• Les rôles et responsabilités respectifs de l'organe de direction, de la direction générale et de la fonction indépendante de gestion du risque opérationnel.
• Les exigences applicables aux données et à la taxonomie du risque opérationnel.
• Le traitement de la composante « indicateur d'activité » (business indicator) utilisée dans le calcul des exigences de fonds propres au titre du risque opérationnel.
• Les obligations de reporting interne, de validation des dispositifs et d'audit.

Un principe de proportionnalité est explicitement intégré au projet : les établissements dont l'indicateur d'activité est inférieur à 750 millions d'euros bénéficieraient d'une fréquence de revue et de reporting allégée, d'un niveau de granularité réduit pour les données de risque opérationnel, de seuils de pertes adaptés et d'une taxonomie simplifiée. C'est un point d'attention direct pour les établissements de taille intermédiaire, qui devront néanmoins démontrer que leur dispositif reste proportionné et non simplement minimal.

Le calendrier : trois dates à retenir

L'EBA organise une audition publique virtuelle le 29 septembre 2026, de 10h00 à 12h00 CEST. L'inscription à cette audition doit impérativement être effectuée avant le 25 septembre 2026, 16h00 CEST, via le lien de participation publié par l'Autorité. La consultation elle-même reste ouverte plus largement jusqu'au 31 décembre 2026, ce qui laisse une fenêtre de réponse écrite plus longue que la fenêtre d'audition orale.

Pourquoi ce texte arrive maintenant

Le risque opérationnel n'est plus le parent pauvre du dispositif prudentiel. La multiplication des incidents liés aux prestataires informatiques externalisés, la fréquence croissante des cyberattaques visant le secteur financier et la dépendance accrue aux chaînes de fournisseurs technologiques ont poussé les superviseurs à vouloir un cadre de gestion plus précis, et non plus seulement un chiffre de fonds propres calculé de façon forfaitaire. Le projet de RTS de l'EBA s'inscrit dans cette logique : il ne modifie pas le calcul de l'exigence de fonds propres au titre du risque opérationnel, mais il structure la gouvernance et les données qui doivent l'alimenter, dans un esprit proche de celui qui a présidé à DORA pour la résilience numérique.

Pourquoi ce texte compte pour les établissements financiers

L'article 323 CRR3 ne crée pas une obligation nouvelle de gérer le risque opérationnel — cette obligation existe déjà dans le cadre prudentiel européen. Ce que fait le projet de RTS, c'est harmoniser au niveau technique la manière dont cette gestion doit être structurée : qui fait quoi dans la chaîne de gouvernance, quelles données doivent être collectées et sous quelle taxonomie, quelle est la fréquence minimale de reporting, et comment l'audit interne doit valider le dispositif.

Concrètement, trois catégories d'établissements sont concernées à des degrés différents :

1. Les grandes banques, pour lesquelles le texte formalise des attentes déjà largement anticipées dans leurs dispositifs actuels, mais avec un niveau de granularité et de traçabilité des données de risque opérationnel qui devra être vérifié poste par poste.
2. Les établissements de taille intermédiaire, qui doivent évaluer si leur indicateur d'activité les place sous le seuil de proportionnalité de 750 millions d'euros et, si oui, documenter que les allégements prévus sont effectivement mobilisés sans dégrader la qualité du dispositif.
3. Les fonctions d'audit interne et de conformité, qui devront intégrer les nouvelles exigences de validation et de reporting dans leurs plans de contrôle dès l'entrée en vigueur du texte final, dont la date n'est pas encore fixée à ce stade — elle dépendra du calendrier d'adoption par la Commission européenne après la clôture de la consultation.

Ce qu'il faut faire maintenant

• Identifier en interne qui, de la fonction risque ou de la direction de la conformité, porte la réponse à la consultation et, le cas échéant, la participation à l'audition du 29 septembre.
• Vérifier la position de l'établissement au regard du seuil de proportionnalité de 750 millions d'euros d'indicateur d'activité.
• Cartographier les écarts entre le dispositif actuel de gestion du risque opérationnel et les exigences de gouvernance, de données et de reporting détaillées dans le projet de RTS, en anticipant une mise en œuvre qui suivra l'adoption définitive du texte.