Un KRI sur le taux de sinistralité auto qui passe au rouge chaque trimestre sans qu’aucune action corrective ne suive, on a tous vu ça. Le problème ne vient pas de l’indicateur lui-même, mais du seuil qui le déclenche. Trop bas, il noie les équipes sous les fausses alertes. Trop haut, il laisse passer des dérives qui finissent devant le comité des risques avec trois mois de retard.
Calibrer les seuils d’alerte KRI reste l’un des exercices les plus concrets et les plus mal maîtrisés en banque comme en assurance.
A lire en complément : Documents requis pour l'établissement d'une licence
Seuils KRI et exigences de capital : le lien que les comités sous-estiment
On parle souvent de seuils d’alerte comme d’un réglage technique laissé aux risk managers. En réalité, dans le cadre prudentiel européen, ces seuils sont directement reliés aux appétits de risque définis lors des exercices SREP (pour les banques) et ORSA (pour les assureurs). Quand un incident récurrent fait bouger le profil de pertes dans les modèles de capital opérationnel, certaines banques européennes recalibrent leurs seuils KRI pour éviter un renforcement durable des exigences de fonds propres.
En pratique, cela signifie qu’un seuil mal positionné n’est pas seulement un problème de reporting. Il peut entraîner une sous-estimation du risque qui, à terme, se traduit par une hausse du capital réglementaire exigé. Les superviseurs ne demandent plus seulement de montrer des KRI : ils veulent comprendre pourquoi le seuil est fixé là et pas ailleurs.
A lire en complément : Jaceuticalyepro Ltd Marketed : avis, signaux d'alerte et vérifications indispensables
Ce que les superviseurs attendent concrètement
Les retours d’expérience ORSA 2023-2024 montrent que les autorités de supervision (EIOPA et autorités nationales) demandent de plus en plus que les seuils d’alerte KRI soient justifiés par des scénarios de stress test documentés. Le jugement d’expert seul ne suffit plus.
Pour les assureurs vie et non-vie, cela se traduit par une recalibration des seuils sur la base d’analyses de queue de distribution (VaR, TVaR) intégrées au processus ORSA. L’objectif : prouver que chaque seuil reflète un scénario de stress quantifié, pas une estimation confortable héritée de l’exercice précédent.
Seuils d’alerte KRI sur le risque numérique : l’impact de DORA
Depuis les orientations révisées de l’EBA sur la gestion des risques TIC et de sécurité, plusieurs grands groupes bancaires ont dû créer des KRI spécifiques sur la continuité numérique et les prestataires cloud critiques. On ne parle plus d’un simple suivi de disponibilité des systèmes.
Les paliers d’alerte sont désormais obligatoirement liés à des métriques précises :
- Durée de panne cumulée sur une période donnée, avec un seuil qui déclenche un comité de crise si le plafond est dépassé
- Taux d’incidents majeurs rapportés par un prestataire TIC critique, comparé à une baseline contractuelle
- Manquements contractuels des fournisseurs cloud (SLA non respectés, audits refusés), qui déclenchent formellement une notification réglementaire
Ce qui change avec DORA, c’est que le franchissement d’un seuil KRI sur un prestataire critique peut déclencher une obligation de notification au superviseur. On quitte le pilotage interne pour entrer dans le réglementaire pur. Les équipes risques qui fixaient leurs seuils TIC de manière isolée doivent maintenant les aligner sur les exigences de résilience opérationnelle imposées par le règlement.
Méthode terrain pour recalibrer un seuil KRI en banque ou en assurance
La théorie dit de partir de l’appétit au risque, de descendre vers les limites de tolérance, puis de fixer les seuils. Sur le terrain, on constate que beaucoup d’établissements font l’inverse : ils partent de seuils historiques jamais remis en question et découvrent le décalage avec leur appétit au risque lors d’un contrôle ACPR ou d’un audit interne.
Trois leviers concrets de recalibration
Le premier levier consiste à analyser la fréquence réelle de franchissement sur les douze derniers mois. Un KRI qui n’a jamais déclenché d’alerte est probablement mal calibré. À l’inverse, un KRI en alerte permanente a perdu toute valeur de signal.
Un bon seuil se franchit entre deux et cinq fois par an, selon la criticité du risque surveillé. Ce n’est pas une règle absolue (les retours varient sur ce point selon la taille de l’établissement et le type de risque), mais c’est un repère opérationnel utile pour détecter les seuils déconnectés de la réalité.
Le deuxième levier est la confrontation du seuil avec les scénarios de stress. On prend les trois scénarios les plus sévères utilisés dans le dernier exercice ICAAP ou ORSA, et on vérifie si le seuil KRI aurait déclenché une alerte avant que le scénario ne se matérialise. Si la réponse est non, le seuil est trop haut.
Le troisième levier, souvent négligé : impliquer les opérationnels métier dans la validation des seuils. Un seuil de taux de réclamation client fixé par la direction des risques sans consulter les équipes sinistres produit des alertes que personne ne comprend ni ne traite. Le seuil doit correspondre à un niveau où l’opérationnel reconnaît qu’une action corrective devient nécessaire.
Gouvernance des seuils KRI : fréquence de revue et escalade
Fixer un seuil ne suffit pas. La question suivante est : à quelle fréquence on le revoit, et qui décide de le modifier ?
Dans les établissements les plus matures, la revue des seuils KRI suit un cycle annuel synchronisé avec l’exercice ORSA ou ICAAP. Les seuils liés aux risques de crédit, de taux ou de liquidité sont revus au minimum chaque trimestre, parce que les conditions de marché bougent vite (hausse des taux, inflation, évolution des prix immobilier en France).
- Les seuils des KRI opérationnels (fraude, incidents IT, sinistralité) sont revus semestriellement, sauf incident majeur qui déclenche une revue immédiate
- Les seuils des KRI réglementaires (DORA, Solvabilité II) sont alignés sur le calendrier de reporting superviseur
- Chaque modification de seuil fait l’objet d’une trace documentée avec justification, validée par le comité des risques
L’escalade suit une logique à trois paliers : alerte opérationnelle (traitement par la ligne métier), alerte tactique (remontée au risk manager de domaine), alerte stratégique (comité des risques ou direction générale). Chaque palier doit correspondre à un seuil distinct sur le même KRI, pas à une simple gradation de couleur sur un tableau de bord.
Le piège le plus fréquent reste de multiplier les KRI sans hiérarchiser les seuils. Un tableau de bord avec quarante indicateurs en alerte orange n’aide personne à prendre une décision. Mieux vaut dix KRI avec des seuils bien calibrés et des règles d’escalade claires qu’un catalogue exhaustif où chaque mesure se noie dans le bruit.
