1 Introduction

Les priorités prudentielles pour 2026-2028 reflètent la stratégie à moyen terme de la supervision bancaire de la BCE pour les trois années à venir. Le conseil de surveillance prudentielle de la BCE les définit sur la base d’une évaluation complète des principaux risques et vulnérabilités auxquels sont confrontées les entités supervisées. Ces priorités font l’objet d’un réexamen chaque année pour tenir compte de l’évolution du paysage des risques et des résultats de différents exercices prudentiels, en particulier le processus de contrôle et d’évaluation prudentiels (Supervisory Review and Evaluation Process, SREP)^[1], ainsi que pour faire le point sur les progrès réalisés par les banques au regard des priorités des années précédentes et des exigences réglementaires. Ce processus de réexamen annuel crée des conditions propices à une stratégie prospective et fondée sur les risques, qui favorise une allocation efficace des ressources prudentielles et rend les actions prudentielles plus transparentes et plus prévisibles pour les banques, tout en garantissant une flexibilité suffisante pour pouvoir ajuster, si nécessaire, les priorités.

Le profil de risque du système bancaire européen est sain et ses fondamentaux robustes, ce qui lui permet de faire face à l’incertitude élevée de l’environnement géopolitique et macrofinancier actuel, et de soutenir efficacement l’économie européenne. Au cours de l’année écoulée, le secteur a continué de faire état de positions de fonds propres et de liquidité solides, de faibles niveaux de prêts non performants, et d’une rentabilité qui a jusqu’à présent bien résisté dans un contexte de baisse des taux d’intérêt. La robustesse de ces fondamentaux, qui résulte en partie de l’amélioration des cadres prudentiels et de surveillance depuis la crise financière mondiale, a permis au secteur de bien résister aux difficultés économiques engendrées par l’intensification des tensions commerciales dans le monde et des conflits, ainsi qu’aux périodes de forte volatilité des marchés financiers qui ont suivi. En outre, la résilience du secteur bancaire a bénéficié ces dernières années de mesures publiques visant à soutenir l’économie réelle et à atténuer les effets des chocs défavorables. La bonne tenue globale du secteur bancaire face à un scénario adverse imputable aux tensions géopolitiques est également mise en évidence par le test de résistance mené cette année à l’échelle de l’Union européenne.

Pour autant, il est indispensable que les banques se préparent à faire face aux défis qui les attendent. L’incertitude mondiale a atteint des niveaux exceptionnels, créant un environnement de fragilité accrue, dans lequel il est davantage probable que se matérialisent des risques autrefois considérés comme lointains. Les tensions géopolitiques et la réorientation des politiques commerciales, les crises liées au climat et à la nature, l’évolution démographique et les ruptures technologiques aggravent les vulnérabilités structurelles, ce qui augmente considérablement la probabilité d’événements extrêmes, autrement considérés comme peu susceptibles de se produire (risques extrêmes). L’incertitude est élevée. Cette combinaison de facteurs accroît le risque de perturbations soudaines et graves, qui pourraient avoir des conséquences considérables pour les économies, les marchés financiers et les banques. Cela fait écho à l’appel que la supervision bancaire européenne a lancé aux banques ces dernières années pour les inviter à rester vigilantes et à se garder de tout excès de confiance.

Compte tenu de ces perspectives délicates, les priorités prudentielles pour 2026-2028 traduisent la nécessité pour les banques de rester résilientes face aux risques géopolitiques et aux incertitudes macrofinancières (priorité 1), et de renforcer leur résilience opérationnelle et leurs capacités en matière de TIC (priorité 2).

Figure 1

Priorités prudentielles pour 2026-2028 concernant les vulnérabilités détectées au sein des banques

Chaque priorité prudentielle cible un ensemble de vulnérabilités observées dans le secteur bancaire pour lesquelles des objectifs stratégiques et des programmes de travail spécifiques ont été définis. La figure 1 énumère cinq objectifs visant à remédier aux principales vulnérabilités des banques et présente une stratégie à moyen et long terme axée sur les stratégies numériques des banques, en particulier celles liées à l’IA, ainsi que sur leur gouvernance et leur gestion des risques associés. Ces deux priorités témoignent de l’engagement de la supervision bancaire de la BCE à favoriser un secteur bancaire européen robuste, résilient et pérenne, capable de faire face à un paysage des risques de plus en plus complexe.

Les priorités prudentielles ont pour objectif de remédier aux vulnérabilités les plus importantes et les plus pertinentes auxquelles sont confrontées les banques et de contribuer aux travaux plus larges de la supervision bancaire de la BCE. Parallèlement, la supervision bancaire de la BCE continue de mener des activités prudentielles régulières dans d’autres domaines de risque afin de renforcer la résilience du secteur bancaire européen face aux risques propres aux établissements. Le suivi des priorités précédentes restera également un axe central de nos travaux, de même que l’engagement prudentiel continu avec les banques.

Les priorités prudentielles encouragent l’efficacité et la cohérence des travaux de planification des équipes de surveillance prudentielle conjointes (Joint Supervisory Teams, JST) et favorisent l’allocation efficace des ressources, conformément aux niveaux de tolérance au risque prédéfinis^[2]. Elles permettent également aux autorités nationales de surveillance de fixer leurs propres priorités de manière proportionnée pour les établissements moins importants. La communication transparente de ces priorités est essentielle pour clarifier les attentes à l’égard des banques, renforcer les effets de la surveillance prudentielle sur l’amélioration de la résilience du secteur bancaire européen et assurer l’égalité de traitement entre les établissements.

Les sections suivantes donnent une vue d’ensemble de l’évaluation des risques menée en 2025 ainsi qu’une description détaillée des priorités prudentielles et des programmes de travail pour la période 2026-2028.

2 Évaluation des risques et priorités prudentielles pour 2026-2028

2.1 Environnement macroéconomique et opérationnel des entités soumises à la surveillance prudentielle

Au cours de l’année écoulée, l’environnement macroéconomique s’est caractérisé par une intensification des tensions commerciales dans le monde et un élargissement des risques géopolitiques, entraînant une réorientation des politiques commerciales et une incertitude globale accrue. L’annonce, début avril 2025, de nouveaux droits de douane appliqués par les États-Unis sur les importations a déclenché un important mouvement de vente sur les marchés obligataires, accentuant la crainte d’une récession mondiale. L’incertitude entourant les politiques, en particulier sur le plan du commerce international, a atteint des niveaux sans précédent et s’est traduite par une volatilité considérable sur les marchés financiers^[3]. Les annonces qui ont suivi – d’abord d’une pause temporaire dans les relèvements des droits de douane, puis d’un accord commercial qui a permis d’éviter une guerre commerciale entre les États-Unis et l’Union européenne – ont entraîné un rebond des marchés boursiers. Si les pertes initiales ont été compensées, les marchés boursiers restent volatils et vulnérables à une nouvelle réévaluation dans un contexte de valorisations élevées et de concentration des risques^[4].

Malgré les fluctuations de l’activité économique, les conditions demeurent propices à un renforcement de la croissance du PIB en volume de la zone euro sur l’horizon de projection, et l’inflation devrait se stabiliser autour de l’objectif de 2 % à moyen terme^[5]. L’activité économique plus forte que prévu au premier trimestre 2025, grâce en partie aux exportations anticipées en prévision d’un relèvement des droits de douane, devrait céder la place à un ralentissement de la croissance au second semestre de l’année. La croissance du PIB en volume de la zone euro devrait toutefois s’accélérer à moyen terme, soutenue par la hausse du revenu disponible réel, la réduction de l’incertitude, le renforcement de la demande extérieure et les mesures de relance budgétaire liées à la défense et aux infrastructures. Les indicateurs tirés d’enquêtes font également état d’une légère expansion dans le secteur manufacturier comme dans les services, signe d’une dynamique sous-jacente positive de l’économie. L’inflation totale devrait rester proche de l’objectif de 2 % à moyen terme, tandis que l’inflation sous-jacente devrait se ralentir sous l’effet de la diminution des tensions sur les coûts de main-d’œuvre et de l’appréciation de l’euro.

Si l’incertitude s’est légèrement atténuée au second semestre de l’année, elle demeure élevée au regard des évolutions passées, induisant des risques pour les perspectives économiques^[6]. Les risques pesant sur la croissance économique sont devenus plus équilibrés, les accords commerciaux ayant réduit l’incertitude^[7]. Néanmoins, une nouvelle intensification des tensions commerciales dans le monde pourrait peser sur la croissance des exportations et freiner l’investissement et la consommation. Les tensions géopolitiques actuelles demeurent une source majeure de risques pour les perspectives macroéconomiques. Une détérioration potentielle de la confiance sur les marchés financiers pourrait entraîner un durcissement des conditions de financement, une plus grande aversion au risque et un affaiblissement de la croissance. En outre, une croissance plus faible que prévu, conjuguée à des besoins de dépenses accrus en matière de défense et à des défis structurels – tels que la faiblesse de la productivité, le vieillissement de la population, le changement climatique et la numérisation – pourraient nuire à la soutenabilité de la dette souveraine, en particulier dans les pays fortement endettés^[8].

Jusqu’à présent, les marchés financiers et le secteur bancaire européen ont fait preuve d’une grande résilience face aux chocs externes, parfois aidés à cet égard par un ensemble de mesures publiques de soutien, notamment budgétaires et monétaires. L’abondance de la liquidité au sein du système financier a joué un rôle déterminant en limitant le nombre de positions qui ont été dénouées lors du mouvement de vente sur les marchés obligataires en avril. Si les turbulences liées aux droits de douane et la flambée associée de la volatilité macroéconomique ont été considérables, elles ont été de courte durée. Les marchés boursiers ont rapidement rebondi après l’annonce de la pause temporaire dans le relèvement des droits de douane, la solidité des fondamentaux des banques européennes ayant soutenu les prix des actifs. Dans le sillage des chocs résultant des politiques commerciales, la probabilité de nouvelles tensions géopolitiques et macrofinancières demeure élevée, accentuant le risque d’une réévaluation soudaine des prix sur les marchés, qui pourrait avoir des répercussions négatives sur la stabilité financière de la zone euro et de l’économie mondiale. Ce risque pourrait être exacerbé par l’interconnexion croissante entre les établissements financiers bancaires et non bancaires^[9].

En outre, les besoins importants en matière de dépenses publiques, conjugués à une marge de manœuvre budgétaire limitée, pourraient susciter des inquiétudes quant à la soutenabilité de la dette souveraine de certains pays, ce qui entraînerait une augmentation des coûts de financement et se répercuterait sur les banques et les entreprises^[10]. À l’avenir, cela pourrait également limiter la marge de manœuvre disponible pour amortir les chocs sur l’économie réelle.

2.2 Priorité 1 : Renforcer la résilience des banques face aux risques géopolitiques et aux incertitudes macrofinancières

L’environnement macrofinancier et géopolitique actuel confirme la nécessité d’une grande résilience financière du secteur bancaire européen et justifie une attention accrue de la part des autorités prudentielles dans certains domaines. Les banques devraient notamment veiller à une prise de risque prudente et s’assurer de l’adéquation de leurs critères d’octroi de crédits afin d’empêcher l’accumulation de nouveaux prêts non performants. Par ailleurs, les autorités de surveillance accorderont une attention particulière à la manière dont les banques mettent en œuvre les nouvelles approches standards, plus sensibles au risque, qui ont été conçues pour faciliter le calcul des exigences de fonds propres dans le cadre du paquet bancaire CRR III/CRD VI. Ces nouveaux cadres relatifs aux exigences de fonds propres permettent de mieux aligner les exigences de fonds propres sur les risques réels des banques, et leur incidence sur les calculs des actifs pondérés des risques devrait s’accroître au fil du temps avec l’introduction progressive du nouveau plancher de fonds propres. Enfin, la fréquence croissante des catastrophes liées au climat et la lenteur des progrès dans la réalisation des objectifs de neutralité carbone au titre de l’accord de Paris imposent aux banques de renforcer encore leur gestion des risques liés au climat et à la nature (C&N).

Facteur important d’incertitude macroéconomique, les risques géopolitiques restent au cœur des priorités prudentielles de la BCE. Ainsi, le test de résistance thématique 2026 évaluera les scénarios de risques géopolitiques propres aux établissements ainsi que la possibilité que ces scénarios aient une incidence significative sur la solvabilité des banques^[11]. Cet exercice permettra également de déterminer comment les scénarios de risques géopolitiques envisagés par les banques pourraient se répercuter sur leurs conditions de financement et de liquidité. Compte tenu de leur caractère transversal, les risques géopolitiques seront pris en compte à la fois dans les activités prudentielles prioritaires et régulières. Dans le cadre de leurs activités régulières, les autorités de surveillance évalueront la capacité des banques à résister aux chocs géopolitiques et examineront leurs déclarations internes sur l’adéquation du capital et de la liquidité, leurs processus de planification de la liquidité et du financement, leurs plans préventifs de rétablissement et leurs dispositifs internes de tests de résistance.

2.2.1 Vulnérabilité prioritaire : Veiller à une prise de risque prudente et à l’adéquation des critères d’octroi de crédits

Objectif stratégique : Afin d’encourager une prise de risque prudente, les entités soumises à la surveillance prudentielle devraient mettre en place et maintenir des critères d’octroi de crédits adéquats et une tarification fondée sur les risques, tout en s’adaptant aux évolutions de l’environnement macrofinancier et à leur propre situation.

La qualité des actifs des entités soumises à la surveillance prudentielle est restée globalement stable au cours de l’année écoulée, soutenue par la résilience des ménages et des entreprises face à la hausse des taux d’intérêt. Si les volumes de prêts non performants ont légèrement augmenté pendant l’année écoulée, principalement dans les segments des particuliers et des petites et moyennes entreprises, les ratios de prêts non performants de la plupart des entités supervisées se sont améliorés. Les perspectives économiques de la zone euro demeurent globalement favorables, avec des taux d’intérêt plus bas et des niveaux d’endettement plus sains qui devraient atténuer les tensions sur le service de la dette. Les marchés de l’immobilier résidentiel devraient également rester résilients, bénéficiant de conditions favorables sur le marché du travail, et des signes de stabilisation apparaissent dans le segment de l’immobilier commercial. Le secteur des bureaux de qualité inférieure demeure toutefois atone dans un contexte de baisse persistante de la demande^[12]. Dans le même temps, d’importants risques à la baisse subsistent, notamment en raison des tensions commerciales entre les États-Unis et l’Union européenne et de risques géopolitiques plus larges, qui pourraient avoir des répercussions sur les secteurs dont les volumes d’exportation vers les États-Unis sont élevés, tels que l’automobile, la chimie ou le secteur pharmaceutique, entraînant potentiellement une diminution de la qualité des actifs. Face à ces incertitudes mondiales, certaines banques ont commencé à accroître leurs provisions, mais le coût global du risque et les niveaux de provisionnement sont restés stables dans l’ensemble. Compte tenu de la possibilité d’une détérioration des conditions macroéconomiques due à l’intensification des tensions géopolitiques et commerciales dans le monde, il est primordial de veiller à ce que les banques appliquent des normes de souscription adéquates pour la production de nouveaux prêts^[13].

Les évaluations prudentielles montrent que, malgré les progrès accomplis, des insuffisances demeurent dans les cadres IFRS 9 et les cadres de gestion du risque de crédit de certaines banques pour ce qui est de leurs portefeuilles les plus vulnérables. Les contrôles sur place et sur pièces ont révélé des améliorations dans l’intégration de l’évolution des risques^[14], notamment ceux liés au climat et à la nature, mais certains problèmes subsistent, par exemple les overlays arbitraires et la prise en compte inadéquate des risques^[15]. Les autorités de surveillance ont constaté des faiblesses dans les cadres de provisionnement et les cadres IFRS 9 lors du SREP 2025. Elles poursuivront par ailleurs leur suivi des insuffisances résiduelles au titre de leurs activités prudentielles régulières. En outre, elles ont continué de surveiller de près la gestion par les banques des débiteurs les plus vulnérables. Un examen ciblé du portefeuille des petites et moyennes entreprises a mis en évidence des lacunes importantes relatives à la gouvernance (comme l’utilisation par les banques de données obsolètes à des fins d’évaluation), aux systèmes d’alerte précoce (qui s’appuient souvent uniquement sur les notations) et à l’état de préparation des établissements face aux difficultés financières des emprunteurs. Les inspections sur place portant sur le risque de crédit associé aux petites et moyennes entreprises ainsi qu’à d’autres portefeuilles vulnérables tels que l’immobilier commercial ont continué de mettre en lumière des problèmes liés au provisionnement, aux processus de gestion du risque de crédit (y compris la valorisation des garanties), à la gouvernance et à la qualité des données.

À l’avenir, les autorités de surveillance accorderont la priorité à la prise de risque prudente et à l’application par les banques de normes de souscription adéquates afin de prévenir l’apparition de futurs prêts non performants. S’appuyant sur l’exercice 2019^[16], un examen thématique sera effectué pour évaluer dans quelle mesure les cadres d’octroi de crédits des banques leur permettent de limiter les pertes potentielles. Cet examen sera suivi d’initiatives ciblées, notamment la mise en œuvre de mesures correctrices et la réalisation d’inspections sur place sur le risque de crédit qui porteront sur les normes de souscription. Pour les banques dont l’examen thématique met en évidence des lacunes concernant la tarification des prêts ou la gestion des coûts, des examens supplémentaires seront effectués afin d’évaluer si les pratiques de prêt sont conformes aux objectifs de rentabilité durable.

2.2.1.1 Principales activités dans le cadre du programme de travail relatif à ces priorités prudentielles

• Examen thématique des normes de souscription axé sur les nouveaux prêts afin d’évaluer comment les banques entendent limiter les pertes potentielles de crédit futures
• Examen ciblé de la tarification des prêts, dans le prolongement de l’examen thématique, afin d’évaluer les pratiques et les normes des banques en matière de tarification des prêts
• Inspections sur place ciblées sur le risque de crédit, portant notamment sur l’octroi de prêts et les cadres de souscription

2.2.2 Vulnérabilité prioritaire : Veiller à une capitalisation adéquate et à une mise en œuvre harmonisée du CRR III

Objectif stratégique : Afin de maintenir une capitalisation adéquate, les entités supervisées doivent mettre en œuvre la nouvelle approche standard pour calculer, de manière harmonisée et précise, leurs exigences minimales de fonds propres au titre du CRR III.

Le cadre final de Bâle III, élaboré à la suite de la crise financière mondiale, vise à rendre les banques plus aptes à absorber les chocs économiques tout en préservant leur capacité à financer l’activité économique et à soutenir la croissance. Dans l’Union européenne, ce cadre a été mis en œuvre par le biais du paquet CRR III/CRD VI, qui est entré en vigueur le 1^er janvier 2025. Ce paquet législatif renforce la supervision bancaire européenne et les exigences en matière de gouvernance, et introduit des changements importants dans le calcul des actifs pondérés des risques des banques pour toutes les catégories de risques prudentiels.

Il est essentiel dans ce contexte que les banques mettent en œuvre, de manière harmonisée et précise, la nouvelle approche standard afin que les exigences de fonds propres soient plus étroitement alignées sur leurs risques réels. Si certains examens prudentiels effectués par le passé étaient quelque peu limités, les analyses ciblées des JST et les inspections sur place portant sur la mise en œuvre de l’approche standard ont mis en évidence d’importantes lacunes résultant d’erreurs dans la classification des expositions, l’attribution des pondérations de risque, la valorisation des garanties, ou de contrôles insuffisants de la part des fonctions de contrôle des risques des banques.

Il sera nécessaire d’assurer une surveillance prudentielle plus étroite à l’avenir afin de tenir compte du rôle croissant que l’approche standard jouera dans la détermination de la solvabilité des banques, notamment par le calcul du nouveau plancher de fonds propres. S’agissant du risque de crédit, les autorités de surveillance évalueront la mise en œuvre par les banques de l’approche standard à la suite des modifications introduites par le CRR III dans ce domaine. Les autorités de surveillance auront recours à la fois à des inspections sur place ciblées et à des examens ciblés en vue d’évaluer l’adéquation des dispositifs de fonds propres des banques. La correction des constats identifiés lors de ces activités prudentielles fera l’objet d’un suivi régulier par les JST. En ce qui concerne le risque opérationnel, le CRR III introduit une nouvelle approche non fondée sur des modèles, applicable à toutes les banques, qui remplace l’approche précédente. Ainsi que pour le risque de crédit, les autorités de surveillance procéderont à un premier examen afin d’identifier les éventuelles valeurs aberrantes sur la base des actifs pondérés des risques déclarés par les banques et d’autres évaluations qualitatives. Elles effectueront ensuite un examen ciblé des établissements présentant un risque d’erreur de calcul plus élevé. Pour ce qui est du risque de marché, compte tenu du report de la première date d’application de la revue fondamentale du portefeuille de négociation, les examens prudentiels ciblés relatifs à ce risque ne seront effectués qu’à la demande des JST, en fonction des résultats de leur dialogue continu avec les banques dans ce domaine.

2.2.2.1 Principales activités dans le cadre du programme de travail relatif à ces priorités prudentielles

• Risque de crédit : examens ciblés et inspections sur place ciblées, axés sur le calcul des actifs pondérés des risques dans le cadre de l’approche standard
• Risque opérationnel : examens ciblés du calcul des composantes de l’indicateur d’activité visant à faciliter le calcul des exigences de fonds propres correspondantes

2.2.3 Vulnérabilité prioritaire : Veiller à une gestion prudente des risques liés au climat et à la nature

Objectif stratégique : Les banques devraient évaluer et gérer efficacement les risques à court, moyen et long terme découlant des crises liées au climat et à la nature, et remédier aux lacunes persistantes de leurs cadres de gestion des risques correspondants.

Avec des températures mondiales supérieures de plus de 1,5 °C à la moyenne préindustrielle, et l’Europe étant le continent qui se réchauffe le plus rapidement^[17], les événements C&N graves deviennent plus fréquents et plus coûteux. Des événements tels que les inondations et incendies récents qui ont touché l’ensemble de l’Europe mettent en évidence le bilan humain et économique de plus en plus lourd des crises C&N^[18]. Parallèlement, le déficit élevé et croissant de couverture assurantielle (seuls 25 % environ des pertes causées par des catastrophes naturelles sont assurées) fait peser des risques supplémentaires sur la croissance du PIB et, potentiellement, sur les expositions au bilan des banques^[19]. En outre, le retard pris par les économies mondiales pour se rapprocher des objectifs de neutralité carbone au titre de l’accord de Paris accroît le risque de transition^[20]. Un scénario de transition désordonnée de type « run on brown », reposant sur l’hypothèse de cessions massives d’actifs bruns^[21], combiné à une récession, pourrait entraîner d’importantes pertes liées au risque de crédit et de marché pour les banques européennes^[22].

Les établissements importants ont réalisé des progrès tangibles, et sont en bonne voie pour satisfaire aux exigences prudentielles en matière de planification de la transition. Les banques européennes ont réalisé des progrès significatifs dans la prise en compte des risques liés aux crises C&N. Alors qu’en 2019, les banques de la zone euro étaient moins d’un quart à prendre en considération ces risques, elles disposent aujourd’hui d’un nombre croissant de pratiques avancées permettant de détecter, surveiller et, surtout, gérer les risques. En 2022, près de 80 % des banques n’avaient mis en place que des pratiques élémentaires de gestion des risques, ou aucune pratique du tout. Étant donné leur faible niveau de préparation à l’époque, à la suite de l’examen thématique 2022 des risques liés au climat et à l’environnement et du test de résistance 2022 sur les risques liés au climat, la supervision bancaire de la BCE a encouragé les banques à accélérer leurs progrès, en fixant des échéances intermédiaires claires pour 2023 et des échéances finales à fin 2024 afin qu’elles alignent leurs pratiques sur les attentes prudentielles tout en tenant compte de leurs spécificités. Fait encourageant, le nombre d’établissements ne disposant pas des éléments fondamentaux a fortement diminué au cours des dernières années^[23]. En outre, les progrès que les banques ont accomplis dans la gestion des risques C&N leur permettent de renforcer leurs capacités internes à gérer efficacement d’autres risques, tels que les risques géopolitiques. L’analyse de la chaîne d’approvisionnement et du risque de concentration (visant notamment à comprendre l’empreinte géographique, les dépendances et les vulnérabilités des clients), la planification des scénarios et les dispositifs de tests de résistance (élaboration et tests de scénarios plausibles mais incertains) ne sont que quelques-uns des domaines à avoir bénéficié de l’amélioration de la gestion des risques C&N par les banques ces dernières années, et ces pratiques peuvent être utilisées pour surveiller et évaluer les effets d’autres facteurs de risque transversaux, tels que les risques géopolitiques.

Malgré les progrès accomplis, il est crucial de poursuivre les efforts. L’évolution du paysage des risques indique déjà que les risques C&N suivent une tendance haussière^[24] et que, contrairement aux facteurs de risque conjoncturels, le risque climatique est un choc permanent qui ne s’oriente que dans une seule direction, avec de graves répercussions à long terme sur les prix des logements et la valeur d’autres actifs^[25]. Cette tendance ressort également des récents progrès accomplis par les banques en matière d’évaluation de la matérialité, qui révèle que 90 % des établissements interrogés considèrent être eux-mêmes significativement exposés aux risques C&N, contre 50 % environ en 2021. De plus, la modélisation et la quantification des risques C&N sont des domaines encore nouveaux et font l’objet de sous-estimations importantes, notamment dans les modèles de risque physique^[26]. La supervision bancaire de la BCE observe également des défis persistants, liés entre autres aux risques physiques C&N, ainsi qu’une accumulation de faiblesses propres à chaque établissement, notamment en ce qui a trait à l’exhaustivité des pratiques. Les autorités de surveillance assureront donc un suivi de ces insuffisances dans le cadre de leurs activités prudentielles régulières.

À l’avenir, les autorités de surveillance continueront de suivre les progrès réalisés et la correction par les banques des insuffisances, et axeront les exercices prudentiels ciblés sur les exigences prudentielles en matière de planification de la transition et sur les difficultés persistantes des banques à se conformer aux attentes prudentielles et aux exigences réglementaires en matière de gestion des risques C&N. En vertu de la CRD VI, il sera demandé aux banques d’élaborer des plans de transition prudentiels, qui seront examinés par les autorités de surveillance conformément aux orientations de l’ABE en matière de gestion des risques environnementaux, sociaux et de gouvernance (ESG). La supervision bancaire de la BCE adoptera une approche progressive et ciblée, mettant l’accent sur les nouveaux éléments de ces orientations, d’abord au moyen de dialogues informels avec les banques, qui seront suivis d’un examen thématique. Les autorités de surveillance continueront également de veiller au respect par les banques des exigences de déclaration au titre du pilier 3 pour les questions environnementales, sociales et de gouvernance, et procéderont à un examen ciblé de leurs déclarations sur le risque physique. La supervision bancaire de la BCE effectuera des analyses approfondies des capacités des banques à relever les défis persistants, notamment en ce qui concerne le risque physique. En outre, les inspections sur place ciblées se concentreront également sur la gestion des risques C&N, soit de manière indépendante, en ciblant principalement les risques C&N, soit dans le cadre d’inspections sur place sur un risque spécifique, tel que le risque de crédit. Enfin, la supervision bancaire de la BCE vise à mettre à jour en temps utile son recueil de bonnes pratiques relatives aux risques C&N.

Principales activités dans le cadre du programme de travail relatif à ces priorités prudentielles

• Suivi et surveillance ciblés de la correction, par les banques, des insuffisances persistantes détectées lors de l’examen thématique et du test de résistance sur les risques liés au climat de 2022
• Examen thématique de la planification de la transition par les banques conformément au paquet CRD VI
• Évaluation horizontale du respect par les banques des exigences de déclaration au titre du pilier 3 pour les questions environnementales, sociales et de gouvernance
• Analyse approfondie des capacités des banques à relever les défis persistants, notamment en ce qui concerne le risque physique
• Inspections sur place ciblées portant sur la gestion des risques C&N, soit de manière indépendante, soit dans le cadre d’examens prévus d’autres domaines de risque

2.3 Priorité 2 : Renforcer la résilience opérationnelle et soutenir la robustesse des capacités en matière de TIC

Des cadres de gestion des risques opérationnels robustes et résilients et de solides capacités en matière de TIC sont essentiels pour limiter les risques naissants et éviter toute perturbation des opérations et services critiques. Avec l’entrée en vigueur début 2025 du règlement sur la résilience opérationnelle numérique (Digital Operational Resilience Act, DORA), les banques doivent désormais veiller à mettre en œuvre de manière cohérente et rapide les exigences fixées en la matière, en particulier celles concernant la gestion des risques liés aux prestataires tiers de services TIC et à la gestion des réponses aux incidents. Il reste, en outre, essentiel de remédier aux lacunes importantes recensées dans le cadre d’examens prudentiels antérieurs dans les domaines de la cybersécurité, de la gestion des risques liés aux tiers, et de l’agrégation des données sur les risques et de la notification des risques (RDARR). De plus, dans le cadre d’une stratégie à moyen et long terme, et au fur et à mesure de la numérisation croissante des opérations bancaires, la supervision bancaire de la BCE intensifiera progressivement ses efforts pour dialoguer avec les banques sur la manière dont elles utilisent les nouvelles technologies, et en particulier l’IA, afin de tirer parti des gains éventuels tout en étant conscientes des risques associés. Une telle démarche contribuera à l’élaboration d’une future approche prudentielle.

2.3.1 Vulnérabilité prioritaire : Mettre en œuvre des cadres de gestion des risques opérationnels solides et résilients

Objectif stratégique : Afin de renforcer leur capacité de prévention, de résistance et de rétablissement face aux perturbations touchant les opérations et services critiques, les banques devraient élaborer et maintenir des cadres de gestion des risques opérationnels solides et résilients. Elles devraient poursuivre leurs efforts pour remédier rapidement et efficacement aux insuffisances détectées précédemment dans le domaine de la cybersécurité et de la gestion des risques liés aux tiers et se conformer pleinement au règlement DORA.

L’évolution rapide du paysage des cybermenaces, amplifiée par les risques géopolitiques, continue de mettre à l’épreuve les capacités des banques en matière de cybersécurité et de gestion des risques liés aux tiers. Les cyberincidents significatifs signalés ont doublé ces dernières années^[27], les attaques par rançongiciel étant toujours plus sophistiquées et les activités commanditées par des États faisant peser des menaces persistantes, y compris de nature hybride telles que la manipulation de l’information, ce qui justifie une vigilance constante^[28]. Même si les banques ont bien résisté à de telles attaques, ainsi qu’à d’autres incidents de nature opérationnelle, et ont été à même d’éviter des perturbations majeures, de récents événements, tels que les pannes d’électricité survenues en Europe, soulignent l’importance pour ces établissements d’élaborer des mesures d’atténuation et de déployer des plans d’urgence efficaces face aux risques encourus par leurs infrastructures critiques, qui couvrent tous les systèmes d’information essentiels et une multitude de scénarios plausibles^[29]. La cybersécurité des banques risque également d’être mise à rude épreuve par les progrès accomplis dans le développement d’applications d’IA, toute sous-estimation des risques de sécurité associés avant le déploiement de ces outils pouvant être à l’origine de vulnérabilités critiques dans leurs systèmes TIC^[30]. En outre, les déclarations prudentielles régulières démontrent que les banques sont fortement dépendantes d’un petit nombre de prestataires de services tiers, dont beaucoup sont établis en dehors de l’Union européenne^[31]. Cette situation accroît la complexité des accords d’externalisation des banques et expose ces entités à des vulnérabilités accrues, en particulier du fait des tensions géopolitiques.

Les résultats agrégés du SREP 2025 et les informations issues des activités prudentielles confirment la nécessité de renforcer les pratiques des banques en matière de gestion des risques liés aux TIC. Le risque opérationnel et le risque lié aux TIC continuent d’obtenir les plus mauvais scores moyens dans le cadre du SREP. Les examens prudentiels ont révélé des faiblesses récurrentes dans les stratégies de cybersécurité, des insuffisances dans la gestion des cyberincidents, ainsi que des lacunes dans les cadres de gestion des risques liés aux tiers^[32]. La supervision bancaire de la BCE a récemment finalisé son guide relatif à l’externalisation des services en nuage vers des prestataires de ce type de services pour répondre à l’utilisation croissante des solutions en nuage par les banques. Le guide décrit les attentes prudentielles concernant la mise en œuvre des exigences liées au règlement DORA. Il présente des exemples de bonnes pratiques pour une gestion efficace des risques liés à l’externalisation en nuage tout en visant à garantir une égalité de traitement entre toutes les entités soumises à la surveillance prudentielle.

À l’avenir, la supervision bancaire de la BCE favorisera une mise en œuvre efficace et cohérente des exigences du règlement DORA. Le respect du règlement DORA sera évalué au moyen d’un large éventail d’activités. À la suite d’examens prudentiels précédents relatifs à la sécurité informatique/cyberrésilience et à la gestion des risques liés à l’externalisation informatique, un suivi ciblé sera à présent mis en place pour les banques qui présentent des insuffisances importantes dans ces domaines afin d’encourager une correction efficace et rapide des lacunes constatées. À cette fin, seront menées deux campagnes d’inspections sur place centrées sur la cybersécurité et la gestion des risques liés aux tiers, qui cibleront les banques reconnues comme plus vulnérables par les JST. Dans le cadre du nouveau mandat de supervision prévu par le règlement DORA, des tests d’intrusion fondés sur la menace seront également réalisés afin de favoriser des améliorations des stratégies de cyberrésilience des banques. Sur la base du guide relatif à l’externalisation des services en nuage, les autorités de surveillance mèneront également une analyse approfondie en vue d’évaluer le niveau de préparation des banques ciblées pour faire face à d’éventuelles perturbations de service causées par un important prestataire de services en nuage. Enfin, étant donné que les modifications des systèmes TIC sont souvent la principale cause d’interruptions de service imprévues dans les banques, la supervision bancaire de la BCE procédera à un examen ciblé de la gestion des changements liés aux TIC afin de recenser les lacunes relatives aux dispositifs de contrôle de base, et d’améliorer les capacités de gestion des changements des banques.

La surveillance des prestataires tiers critiques, en vertu du cadre de supervision prévu par le règlement DORA, sera lancée en janvier 2026. La supervision bancaire de la BCE soutient fermement ce nouveau cadre de surveillance, qui contribuera à renforcer la résilience opérationnelle numérique dans l’ensemble du secteur financier de l’Union européenne. La surveillance exercée par les établissements sur les prestataires tiers critiques a vocation à compléter une gestion saine des risques liés aux tiers, mais pas à s’y substituer.

2.3.1.1 Principales activités dans le cadre du programme de travail relatif à ces priorités prudentielles

• Suivi ciblé des stratégies de remédiation des banques pour lesquelles des lacunes importantes sont signalées en matière de sécurité des TIC/cyberrésilience, ainsi que d’externalisation de services TIC
• Deux campagnes d’inspections sur place portant sur la gestion de la cybersécurité et la gestion des risques liés aux tiers, conformément aux nouvelles exigences du règlement DORA
• Tests d’intrusion fondés sur la menace visant à détecter les vulnérabilités et améliorer la résilience des banques dans le domaine de la cybersécurité
• Examen ciblé de la gestion des changements liés aux TIC
• Analyse approfondie de la dépendance des banques à l’égard des prestataires de services en nuage visant à évaluer le niveau de préparation des établissements pour faire face à d’éventuelles perturbations de service

2.3.2 Vulnérabilité prioritaire : Remédier aux déficiences relatives aux capacités de déclaration des risques et aux systèmes d’information connexes

Objectif stratégique : Afin de favoriser une gestion saine des risques et une prise de décision efficace, les banques doivent intensifier leurs efforts pour remédier efficacement et en temps utile aux faiblesses significatives détectées dans leurs cadres RDARR et veiller à l’alignement de ces dispositifs sur les attentes prudentielles définies dans le guide de la BCE correspondant.

L’environnement géopolitique incertain et la numérisation rapide des opérations et des services des banques accentuent la nécessité de disposer de systèmes d’information internes résilients et de solides capacités en matière de RDARR. Disposer d’informations exactes et en temps utile sur les risques est essentiel à un pilotage efficace, à une prise de décision stratégique rapide et à une gestion efficace des crises. En outre, un cadre RDARR solide permet aux banques d’exploiter des outils et technologies de numérisation tels que l’IA et les techniques d’analyse avancées^[33].

Toutefois, les progrès accomplis par les entités soumises à la surveillance prudentielle pour remédier aux déficiences structurelles de leurs cadres RDARR restent lents. Les activités prudentielles menées au cours du cycle de l’année écoulée font également apparaître la nécessité de poursuivre les efforts de remédiation déployés par ces entités pour corriger les lacunes constatées par rapport aux attentes prudentielles. Les résultats du SREP 2025 révèlent des déficiences persistantes dans les cadres RDARR des banques, avec une absence d’amélioration du sous-score moyen correspondant par rapport à l’année dernière. La campagne 2022-2024 d’inspections sur place et les examens ciblés 2024 des cadres RDARR a mis en lumière des faiblesses en ce qui concerne i) les cadres de gouvernance des données des banques, y compris l’exhaustivité ou l’adéquation de l’implication des organes de direction ; ii) l’infrastructure de données et l’architecture informatique ; et iii) l’exactitude et l’intégrité des données. Les examens ciblés 2024 ont également mis en évidence des lacunes par rapport aux principes CBCB 239 et aux attentes prudentielles correspondantes, comme indiqué dans le guide de la BCE relatif à l’efficacité de l’agrégation des données sur les risques et de la notification des risques (en anglais).

Les efforts prudentiels vont s’intensifier pour veiller à ce que les banques améliorent leurs cadres RDARR et leurs capacités associées, et répondent aux attentes prudentielles correspondantes. En décembre 2024, le conseil de surveillance prudentielle de la BCE a approuvé une stratégie systémique applicable à toutes les entités soumises à la surveillance prudentielle, afin de veiller à ce que ces établissements respectent les attentes prudentielles et, le cas échéant, d’assurer le suivi de leurs stratégies de remédiation. Cette stratégie se concentrait au départ sur l’obligation de rendre compte des organes de direction pour ce qui est du contrôle et de la mise en œuvre du cadre RDARR, avant de s’étendre progressivement à d’autres attentes prudentielles, telles que celles relatives à la gestion de la qualité des données, et à l’architecture informatique et des données. Une procédure de remédiation et d’intervention par paliers clairement définie guidera les mesures prises par les autorités de surveillance, qui recourront, le cas échéant, aux outils prudentiels existants. Des inspections sur place ciblées seront menées en vue d’obtenir des informations supplémentaires sur les progrès accomplis par les banques pour remédier aux constats plus complexes et de gravité élevée.

2.3.2.1 Principales activités dans le cadre du programme de travail relatif à ces priorités prudentielles

• Stratégie systémique et examens prudentiels correspondants visant à contrôler le respect par les banques des attentes prudentielles relatives aux cadres RDARR, ainsi que la correction effective de la plupart des constats significatifs
• Inspections sur place ciblées sur les cadres RDARR des banques nécessitant une évaluation plus approfondie, et inspections sur place ciblées sur les constats graves précédemment recensés

2.3.3 Stratégie prioritaire à moyen et long terme axée sur les stratégies numériques des banques (notamment celles relatives à IA), ainsi que sur leur gouvernance et leur gestion des risques associés

Objectif stratégique : Lorsqu’elles recourent aux nouvelles technologies, et en particulier à l’IA, afin de renforcer l’efficacité et l’innovation, les banques doivent disposer de stratégies qui reflètent bien les possibilités et les risques inhérents aux applications associées, et instaurer une gouvernance et des contrôles des risques robustes pour faire face aux risques sous-jacents.

Les entités soumises à la surveillance prudentielle devraient hiérarchiser leurs efforts de numérisation de manière à renforcer leur compétitivité et à gérer efficacement les risques inhérents aux nouvelles technologies. Les mutations technologiques rapides, notamment dans le domaine de l’IA, sont en train de remodeler le secteur bancaire, et les établissements doivent agir de manière stratégique pour tirer parti de la valeur à long terme et adapter leurs modèles d’activité. Tant des facteurs d’offre, notamment l’accès plus vaste et abordable à des ressources techniques comme le développement de modèles et le stockage en nuage, que des facteurs de demande, tels que les gains d’efficacité attendus et le renforcement de la concurrence, conduisent à une utilisation élargie de l’IA dans les banques, souvent à l’appui de capacités de modélisation établies en interne. Bien que l’IA soit susceptible d’améliorer la gestion des risques et le traitement de l’information, ainsi que d’engendrer des gains d’efficacité grâce à l’automatisation, les risques associés pourraient devenir plus perceptibles en raison de l’utilisation plus large des applications correspondantes. À cet égard, les outils d’IA générative représentent un grand bond technologique, qui est susceptible d’entraîner des répercussions importantes pour les banques. Alors que la technologie ne cesse d’évoluer, la stratégie prudentielle restera neutre à cet égard et se concentrera sur les types d’utilisation et les risques associés. L’utilisation croissante des outils d’IA dans les entités soumises et non soumises à la réglementation prudentielle appelle, par conséquent, une approche structurée et globale qui comprend la stratégie, la gouvernance et la gestion des risques liés à l’IA. Les autorités de surveillance doivent pour leur part affiner leurs cadres d’évaluation dans le cadre de leur action prudentielle afin de mieux évaluer les stratégies des banques relatives à l’IA, de promouvoir l’adoption des meilleures pratiques du secteur et de veiller à ce que les mécanismes de protection ad hoc soient en place. Cette priorité vise à contribuer à l’adoption d’une orientation prudentielle stratégique concernant à la fois les possibilités et les risques inhérents aux applications fondées sur l’IA et à ouvrir la voie à d’éventuels ajustements de la panoplie d’outils prudentiels. La supervision bancaire de la BCE peut ainsi aider les banques à prendre des mesures proactives pour remédier aux risques naissants, tout en complétant efficacement l’orientation habituelle à court et moyen terme des priorités prudentielles par une perspective stratégique à plus long terme.

Ces dernières années, la supervision bancaire de la BCE a recensé les aspects importants pour un pilotage durable, bien géré et soucieux des risques de la transformation numérique des banques. Le rapport de la supervision bancaire de la BCE publié l’année dernière sur les principaux critères d’évaluation et les bonnes pratiques dans le domaine de la numérisation a révélé une augmentation significative du taux d’adoption de l’IA dans les services bancaires. Cette évolution a été confirmée par les examens ciblés et les inspections sur place réalisés en 2024-2025. Bien que les différents usages de l’IA couvrent un large éventail d’activités, des actions prudentielles passées ont mis en évidence l’importance d’une adoption accrue de l’IA pour la notation de crédit et la détection des fraudes, ainsi que le potentiel encore naissant mais très perturbateur de l’IA générative^[34]. En 2025, la supervision bancaire de la BCE a intensifié son suivi de l’utilisation de l’IA et de l’IA générative en collectant des données auprès des banques. Les autorités de surveillance ont par ailleurs continué de collaborer avec les banques afin de mieux comprendre les usages spécifiques et d’évaluer leur incidence et leur pertinence du point de vue du risque microprudentiel.

À l’avenir, la supervision bancaire de la BCE continuera de surveiller l’utilisation générale de l’IA, tout en adoptant une approche plus ciblée pour se concentrer sur les applications d’IA générative des banques. L’attention particulière accordée à l’IA générative a vocation à élargir le périmètre des enquêtes en cours sur les applications d’IA des banques ayant des implications prudentielles. Cette démarche devrait conduire à une évaluation plus large de l’importance prudentielle des évolutions actuelles et futures des banques dans ce domaine, ainsi qu’à l’adoption d’une orientation prudentielle sur le caractère significatif de ces applications d’IA et les risques inhérents à celles-ci, en préparation des examens futurs. En parallèle, la supervision bancaire de la BCE participe aussi activement aux discussions relatives à la mise en œuvre de la loi de l’Union européenne sur l’intelligence artificielle, et entend coopérer avec les autorités de surveillance du marché au niveau national ainsi qu’avec l’Autorité bancaire européenne.

Au-delà de l’IA, la supervision bancaire de la BCE continuera de réaliser des activités d’analyse prospective afin de conserver une longueur d’avance. Comme le secteur bancaire opère dans un environnement en rapide mutation du fait, à la fois, de l’innovation technologique et de l’émergence de non-banques, ces activités permettent de détecter et de comprendre les tendances structurelles et les facteurs de risque qui devraient façonner l’avenir des banques à moyen et long terme. Elles favorisent également une intégration progressive des constats correspondants dans les cadres et la stratégie prudentiels. Dans ce contexte, l’expansion rapide des stablecoins, la multiplication des types d’utilisation et la complexité qui en résulte, mais aussi les implications pour les banques – notamment en ce qui concerne la fourniture de services financiers aux émetteurs de stablecoins – peuvent présenter des risques importants si ceux-ci ne sont pas bien compris et gérés. C’est pourquoi les autorités de surveillance suivront également les évolutions dans ce domaine, et dialogueront avec les banques de manière ciblée afin de veiller à la mise en œuvre d’une gestion efficace des risques associés.

2.3.3.1 Principales activités dans le cadre du programme de travail relatif à ces priorités prudentielles

• Ateliers horizontaux ciblés consacrés aux applications d’IA générative avec une sélection de banques permettant aux autorités de surveillance de mieux comprendre la manière dont les banques utilisent ces applications
• Coopération avec les autorités de surveillance du marché responsables de la loi sur l’intelligence artificielle et avec l’Autorité bancaire européenne