BCBS 239, GDPR : pourquoi la Banque doit miser sur la gouvernance des données ?

Le secteur bancaire traverse actuellement une période de transition sous l’impulsion de nouvelles réglementations. Aujourd’hui, les nouvelles technologies jouent un rôle déterminant en aidant l’industrie à faire face aux principaux problèmes auxquels elle est confrontée, dans sa démarche de mise en conformité qui découle de cet arsenal législatif. Signe des temps : on voit se développer l’acronyme de « Regtech » pour les caractériser.

Les racines de ce phénomène remontent à plusieurs dizaines d’années, et c’est la crise financière de 2008 qui l’a accéléré, donnant l’impulsion d’un nouveau cadre législatif et réglementaire. Provoqué, en partie, par une prise de risque excessive de la part des banques internationales, ce crash a mis à genoux les économies du monde entier.

Il s’en est suivi la mise en place d’un ensemble de réglementations visant à empêcher que cette situation ne se reproduise et à tenir les particuliers à l’abri des produits financiers à risque. Désormais, le cadre réglementaire impose la mise en en place de systèmes d’information pour le contrôle. Et la piste d’audit s’élargit, par exemple autour de la souveraineté des données, concernant aussi, mais pas seulement, les établissements bancaires.

Un cadre législatif complexe pour les banques

Aujourd’hui, le cadre réglementaire est extrêmement complexe pour les banques. Celles-ci sont confrontées à des exigences contraignantes et onéreuses par les législations. Ainsi, des lois telles que Sarbanes-Oxley, les recommandations dites BCBS 239 (principes aux fins de l’agrégation des données sur les risques et de la notification des risques), ou encore la réforme Bâle III obligent les établissements à conserver des rapports de leurs transactions à des fins de contrôle.

La future réglementation GDPR (ou RGPD en français) sur le respect de la vie privée des résidents européens aura également un impact significatif. La MiFID II (directive révisée concernant les marchés d’instruments financiers) devrait de surcroît affecter et provoquer la transformation d’un grand nombre d’activités et de systèmes des établissements bancaires, du trading au reporting sur les opérations, en passant par les systèmes RH et informatiques. Les banques sont aussi confrontées à des obligations croissantes quant à leurs procédures d’identification et de connaissance client (KYC) et de lutte contre le blanchiment d’argent (AML).

Amener plus d’agilité face au respect des réglementations

L’actualité nous rappelle de plus en plus fréquemment que le non-respect de ces règlements et obligations porte préjudice à la notoriété des établissements concernés. Cela les expose à des amendes considérables ou à des poursuites pénales.

Les banques et autres établissements de services financiers n’ont donc pas d’autre choix que de s’assurer que leurs processus de gestion et d’intégration de données sont capables de s’adapter à tout un ensemble de réglementation qui évoluent en permanence. Il ne s’agit pas seulement de lancer des projets isolés pour chaque nouvelle règlementation, mais de mettre en place un cadre plus global amenant plus d’agilité face au respect de ces dites réglementations.

Une enquête menée en 2016 par PwC auprès de quelque 45 établissements bancaires européens révélait ainsi que 2/3 des banques ne disposaient pas d’un cadre global de gouvernance des données. Il s’agit dorénavant d’une des grandes priorités des dirigeants dans le secteur.

Le rôle clé de la gouvernance des données

Répondre à ce besoin de conformité dans un cadre réglementaire aussi complexe nécessite de s’assurer une gestion des données de haute qualité. La cartographie et l’audit des flux de données (on parle aussi de lignage) – ou le fait de pouvoir déterminer leur provenance et de démontrer les résultats de ces analyses à des organismes de contrôle externes – est un processus crucial.

En effet, pour maintenir la conformité, les organisations ont besoin de comprendre le cycle de vie de leurs données. Elles doivent savoir et aussi être capables de démontrer, en fonction des besoins, par quels processus et transformations ces données passent au fil du temps. D’autres secteurs ont connu cet enjeu pour leur chaîne de valeur. Par exemple, l’industrie pharmaceutique et, désormais, l’industrie de la grande consommation pour la chaîne alimentaire. Ce qui s’appliquait aux produits physiques s’applique maintenant au monde dématérialisé des données.

La traçabilité, une exigence majeure

La traçabilité est ainsi devenue une exigence majeure au regard des nouvelles réglementations. L’établissement doit, par exemple, avoir la certitude qu’un client a donné son consentement pour une offre/un service, ou non. Dans le cas de GDPR, les banques devront mettre en place une plateforme d’informations personnelles nominatives (on parle aussi souvent de PII, Personally Identifiable Information, même si la définition européenne des données personnelles est plus vaste) d’où elles pourront récupérer l’ensemble des données pertinentes en un seul lieu.

Il leur faudra également réconcilier et harmoniser les données disparates des PII pour disposer « d’une vision client/employé unique ». Pour ce faire, les banques pourront s’appuyer sur les technologies de qualité des données, de gestion des données de référence (MDM) et de gestion des métadonnées, pour établir la cartographie de ces données.

La cartographie des données est fréquemment perçue comme la première étape vers une bonne gouvernance des données. En réalité, la gouvernance des données va plus loin en comprenant un ensemble complet de processus garantissant que les données importantes soient formellement gérées dans l’ensemble de l’entreprise.

Déployer les bons systèmes et solutions de gouvernance des données

Pour aboutir à des environnements gérés de façon performante, sécurisés, et conformes aux normes, les banques devront donc absolument déployer les bons systèmes et solutions de gouvernance des données. Cela est nécessaire pour parvenir à être conforme à l’intégralité des réglementations telles que GDPR. Dans ce genre de cas, la mise en œuvre de stratégies adaptées sera essentielle pour gérer les paramètres tels que les périodes de consentement (opt-in), établir les droits de la personne concernée (droit à l’oubli, de rectification ou d’accès et de portabilité des données) ou d’archivage des données historiques.

De même, que le GPS a transformé l’industrie du transport, en apportant une vision en temps réel sur les conditions de circulation, les plateformes de données modernes ont le potentiel d’apporter la transparence requise dans toute la chaîne d’approvisionnement de l’information financière. Un ingrédient essentiel de toute initiative de conformité réglementaire. En effet, ces outils peuvent faciliter et accélérer l’accès à l’information, mais également s’assurer de sa protection. En outre, ils évitent aux employés de créer leurs propres versions locales de bases de données et autres fichiers Excel, qui pourraient être difficiles à gérer et à contrôler, voire constituer en soi, une violation de la réglementation.

Récolter les fruits des efforts de conformité

Petit à petit, et à mesure que les outils d’accès en libre-service et de préparation des données se généraliseront pour accroître la productivité et la compétitivité, il deviendra de plus en plus important pour le secteur bancaire en quête de conformité d’assurer une bonne gouvernance et une bonne gestion de leurs données. Cela contribuera en outre à renforcer l’avantage concurrentiel. Et ce, en permettant aux décisionnaires de préparer rapidement les données, afin de profiter pleinement de leur potentiel numérique.

Il est également important de garder en tête que les efforts consentis pour améliorer la gestion des données, la cartographie et la gouvernance des données porteront leurs fruits aussi bien à court qu’à long terme. Ainsi, la prochaine législation introduite posera moins de problèmes aux établissements concernés, qui disposeront déjà de bases solides en la matière.

Enfin, les réglementations obligeant à adopter de meilleures pratiques en matière de gestion des identités des clients (GDPR, KYC, etc.) conduisent d’ores et déjà les banques dans la bonne direction pour établir des relations privilégiées avec leurs clients – des relations basées sur la confiance et sur des interactions personnalisées.