Gestion du risque de modèle

Le risque de modèle est la perte subie parce qu’un modèle est erroné ou utilisé hors de sa finalité. Un modèle de prix calibré sur dix ans de baisse des taux évalue mal un portefeuille quand ils montent, et un score entraîné sur les dossiers acceptés ne dit rien de fiable sur les refusés.

Les banques allemandes appliquent MaRisk, publié par BaFin comme circulaire plutôt que comme loi. AT 4.1 relie le calcul de capacité à supporter les risques à des méthodes explicables, et AT 4.3.2 exige la revue régulière de l’adéquation des procédures de quantification. Pour un établissement important, la Banque centrale européenne ajoute son guide des modèles internes, exposant ce que les superviseurs lisent lors de l’examen d’un modèle de capital.

Cinq sources produisent presque toutes les défaillances, et les nommer permet de les tester. Les données sont erronées, incomplètes ou ne représentent plus la population concernée. Les hypothèses sont défectueuses ou le calibrage n’est plus actuel. La méthode ne convient pas à la question, sans ajustement capable de la réparer. L’implémentation contient une erreur de code absente de la formule elle-même. Ou le résultat est interprété comme disant autre chose que son contenu.

La sixième, la plus interrogée par les superviseurs, est l’usage hors de la plage testée. Un modèle classant les candidats d’un produit sert pour un autre, un scénario de crise utilise des paramètres jamais calibrés, et le résultat paraît aussi fiable qu’un résultat valide. Les échecs publics ont suivi ce schéma: modèles de valeur à risque jugeant impossibles les corrélations de 2008, et pertes de JPMorgan en 2012 sur le portefeuille de crédit synthétique London Whale, dont un modèle sur tableur sous-estimait le risque.

Quatre techniques portent l’essentiel des tests, dont le backtesting comparant prédictions et réalité. Un modèle challenger, créé par une autre personne ou sur une spécification plus simple, fournit un point de référence. L’analyse de sensibilité déplace une entrée à la fois pour montrer l’hypothèse déterminante. Les tests de résistance exécutent le modèle aux limites de sa plage et au-delà, là où il cesse d’être prudent.

Le suivi accompagne la validation et fonctionne de façon continue. La population notée s’éloigne de l’échantillon de développement, variation mesurable par l’indice de stabilité de population ou un test de Kolmogorov-Smirnov sur la distribution des scores, avant toute baisse de performance perçue. La validation des modèles bancaires détaille la méthode et les seuils.

La validation revient à une personne qui n’a pas construit le modèle. MaRisk sépare développement et examen des procédures, ce dernier faisant rapport à la direction sans passer par l’unité concernée. En pratique, une banque place la validation en deuxième ligne de défense, avec une méthode documentée distincte.

L’approbation remonte à l’organe de direction, car MaRisk laisse aux dirigeants la responsabilité globale des risques, un modèle dépassant sa tolérance mais restant actif constituant donc une décision de direction documentée. L’audit interne vérifie ensuite la bonne réalisation de la validation, troisième examen du même modèle.

Avant de lire un modèle, le superviseur demande quels modèles existent. Un registre complet avec responsable, finalité et dernière date de validation par entrée répond; un registre incomplet transforme l’examen en débat sur le périmètre. MaRisk AT 4.3.1 impose de documenter et actualiser processus et responsabilités, faisant du registre une obligation plutôt qu’une commodité.

Deux types d’entrées sont le plus souvent oubliés dans ce registre. Les modèles sur tableur d’un métier échappent à la gouvernance, et un modèle intégré à une application achetée relève du risque bancaire même si un fournisseur l’a écrit. Le registre de l’IA et des modèles financiers inclut les deux.

Un modèle IFRS 9 de pertes de crédit attendues relie comptabilité et risque de modèle. La norme exige une estimation prospective, donc une prévision macroéconomique entre dans le modèle et le scénario choisi modifie la provision. Deutsche Bundesbank supervise l’application de la norme et traite le test d’augmentation significative du risque de crédit, décidant du passage d’une exposition au niveau deux, comme un choix de modélisation à justifier.

Les ajustements après modèle constituent la partie qui suscite des questions. Lorsqu’une banque superpose un jugement de direction au résultat, l’ajustement exige la même documentation, y compris sa date de retrait. Le risque de crédit des banques allemandes repose sur ces chiffres, et le plancher Bâle III limite la réduction du capital par modèles internes sous le calcul standard.

Deux usages financiers sont à haut risque selon le règlement IA. L’annexe III du règlement (UE) 2024/1689 cite les systèmes évaluant la solvabilité ou établissant le score de crédit des personnes physiques, et ceux évaluant les risques et tarifs en assurance vie et santé. Un déployeur assume des obligations de supervision humaine, journalisation et suivi qui complètent MaRisk sans le remplacer.

BaFin a publié des orientations sur les risques TIC des systèmes IA en décembre 2025. Pour BaFin, l’IA relève de la gestion des risques TIC selon DORA, sans régime distinct, avec des tests proportionnés à la criticité. Un modèle sans décision autonome et un modèle refusant un prêt occupent donc des positions différentes sur la même échelle. L’apprentissage automatique en finance et le règlement IA en finance couvrent l’ensemble.

La gestion du risque de modèle rassemble les contrôles assurant l’adéquation des modèles aux décisions prises: registre de chaque modèle utilisé, validation indépendante, limites d’usage hors plage testée et remontée à la direction en cas de dépassement de tolérance. En Allemagne, l’obligation vient de MaRisk et, pour les banques supervisées par la Banque centrale européenne, du guide BCE des modèles internes.

BaFin supervise le risque de modèle des établissements moins importants et publie MaRisk, qui énonce l’obligation. La Banque centrale européenne supervise directement les modèles des établissements importants et approuve ceux utilisés pour le capital, Deutsche Bundesbank réalisant les inspections sur place. Pour le score de crédit à la consommation, le règlement IA ajoute des obligations contrôlées par la surveillance du marché IA, au-delà de la seule supervision bancaire BaFin.

Une fois par an pour les modèles importants, et chaque fois qu’un événement invalide le dernier examen. MaRisk ne fixe aucun intervalle unique, mais exige un examen adapté, la banque inscrivant donc son cycle par niveau de risque dans sa politique. Une rupture de marché, une source de données changeant de définition ou la mise à jour d’un modèle acheté déclenchent habituellement une revalidation imprévue.