Banques tunisiennes : La deuxième ligne de défense prend le pouvoir

De l'e-KYC (identification et connaissance électronique du client) à IFRS 9, en passant par le renforcement du dispositif de lutte contre le blanchiment, plusieurs évolutions réglementaires récentes poussent la Conformité et la Gestion des risques à intervenir de plus en plus en amont des décisions bancaires. Une mutation discrète, mais potentiellement majeure, de la gouvernance du secteur.

Par Hakim CHERIF

Directeur - ATB | Administrateur indépendant - MPBS

Auteur du roman professionnel " Avant l'incident "

Pendant longtemps, la fonction Risques et la Conformité ont occupé une position relativement claire dans l'organisation bancaire : les métiers faisaient du business, la deuxième ligne contrôlait et alertait, tandis que l'Audit interne, indépendant, évaluait périodiquement l'efficacité du dispositif.

Ce modèle des trois lignes de défense n'est évidemment pas remis en cause, mais sa pratique évolue. La réglementation bancaire tunisienne semble progressivement déplacer le moment auquel le risque doit être pris en compte : moins après la décision, davantage avant celle-ci.

L'enjeu n'est donc pas la disparition des frontières entre les fonctions. Il est plus subtil : la deuxième ligne est appelée à intervenir de plus en plus tôt dans le processus de décision bancaire et la succession des textes publiés depuis 2025 permet de suivre cette transformation.

De la vérification à l'anticipation

Dans le modèle classique, la première ligne (les métiers) porte directement les risques liés aux activités qu'elle réalise. Le commercial connaît son client, le responsable crédit instruit son dossier, le trésorier gère ses positions, le réseau distribue les produits.

La deuxième ligne (Risques et Conformité) définit les politiques, surveille les limites, mesure les risques et alerte sur les situations problématiques. La troisième ligne (l'Audit interne) conserve son indépendance et évalue périodiquement l'efficacité globale du dispositif.

Le principe reste sain mais il devient moins suffisant lorsque les produits, les technologies et les risques évoluent beaucoup plus rapidement que les procédures traditionnelles.

Un produit digital peut être lancé en quelques semaines. Un nouveau canal de distribution peut modifier radicalement le profil de risque d'une clientèle. Une technologie peut permettre une ouverture de compte à distance. Un nouveau risque réglementaire peut apparaître avant même que les procédures internes aient été adaptées.

Attendre la fin du processus pour contrôler le risque revient alors souvent à intervenir trop tard. C'est précisément cette logique que plusieurs textes récents de la Banque centrale de Tunisie viennent progressivement renforcer.

L'e-KYC : quand la conformité entre dans la conception du produit

La circulaire BCT n°2025-06 du 28 février 2025, relative aux règles minimales régissant l'enrôlement électronique des clients, constitue une première illustration de cette évolution. L'e-KYC Electronic Know Your Customer, ou connaissance électronique du client , ne consiste pas simplement à remplacer le formulaire papier par une interface numérique.

Il s'agit de permettre à l'établissement d'identifier et de connaître son client à distance tout en conservant un niveau de maîtrise du risque compatible avec ses obligations réglementaires.

Le changement est important. En effet, dans un parcours bancaire traditionnel, la conformité pouvait intervenir après la constitution du dossier. Dans un parcours entièrement numérique, la conformité doit être intégrée à l'architecture du parcours lui-même.

Comment le client est-il identifié ? Comment son identité est-elle vérifiée ? Quelles anomalies doivent déclencher une alerte ? Quelles données doivent être conservées ? Comment la banque pourra-t-elle démontrer ultérieurement que les contrôles ont effectivement été réalisés ?

Ces questions ne sont plus exclusivement informatiques, elles deviennent des questions de gestion du risque. La deuxième ligne commence ainsi à intervenir non plus seulement sur le résultat du processus, mais sur sa conception.

IFRS 9 : le risque devient une donnée stratégique

La circulaire BCT n°2025-08 constitue une deuxième étape beaucoup plus structurante. Publiée le 16 mai 2025, elle engage les banques et établissements financiers dans un vaste chantier portant notamment sur les fonds propres, la classification et la couverture des expositions, ainsi que l'adoption de la norme IFRS 9. Elle impose également un plan stratégique et opérationnel et renforce les exigences relatives à la gouvernance des données.

Avec IFRS 9, le risque de crédit ne peut plus être appréhendé uniquement à partir des pertes déjà constatées et la logique devient davantage prospective. Pour mesurer correctement les pertes de crédit attendues, la banque doit disposer de données fiables, de modèles pertinents et d'hypothèses suffisamment robustes.

Le responsable Risques ne peut donc plus être uniquement celui qui produit un reporting destiné au comité de direction. Il doit comprendre les portefeuilles, les scénarios, les modèles, les données et leurs limites, et surtout, ses analyses doivent pouvoir éclairer les décisions.

Quel niveau de risque la banque accepte-t-elle ? Dans quels secteurs ? Pour quelles catégories de clients ? Avec quelle tarification ? Avec quel niveau de fonds propres ? Avec quelle concentration maximale ? Ces questions ne sont plus purement commerciales, elles sont au cœur de la stratégie bancaire.

C'est pourquoi IFRS 9 contribue à transformer progressivement la fonction Risques en fonction de pilotage. La réforme prudentielle engagée par la BCT associe d'ailleurs explicitement les enjeux de fonds propres, de risque de crédit, de données et de gouvernance.

La donnée devient une question de gouvernance

Derrière IFRS 9 se cache un autre enjeu, moins visible mais peut-être encore plus important : la qualité de la donnée. Une banque peut disposer des meilleurs modèles du marché. Si les données utilisées sont incomplètes, incohérentes ou insuffisamment traçables, les résultats le seront également. La qualité du risque dépend donc de plus en plus de la qualité de l'information.

Quelle est l'exposition réelle d'un client ? Quelle est son endettement global ? Quel est son historique de paiement ? Quels signaux annoncent une dégradation de son profil ? Quelle est la concentration du portefeuille sur un secteur donné ? Toutes ces questions supposent une donnée accessible, fiable et gouvernée. La donnée prudentielle cesse donc d'être un simple sujet informatique pour en devenir une infrastructure de décision.

La circulaire 2025-08 demande précisément aux établissements de structurer cette gouvernance, d'adapter leurs systèmes d'information et de mettre en place les dispositifs nécessaires à la qualité, la traçabilité et la disponibilité des données.

La circulaire 2025-17 : le risque entre encore davantage en amont

C'est probablement ici que notre constat apparaît le plus clairement. La circulaire BCT n°2025-17 du 22 décembre 2025 renforce le dispositif de contrôle interne en matière de lutte contre le blanchiment d'argent, le financement du terrorisme et le financement de la prolifération des armes de destruction massive.

Son intérêt pour notre sujet ne réside pas uniquement dans l'élargissement du périmètre réglementaire. Le texte impose aux établissements de définir et mettre en œuvre un dispositif d'identification et d'évaluation des risques, accompagné d'une politique d'atténuation.

Surtout, l'évaluation doit tenir compte des caractéristiques de la clientèle, des produits et services fournis ou envisagés, des technologies utilisées pour leur distribution, ainsi que des juridictions et zones géographiques concernées.

Cette formulation est particulièrement révélatrice. Le risque n'est plus seulement évalué une fois l'activité réalisée, il doit être apprécié au regard de ce que la banque envisage de faire.

Lorsqu'une banque veut lancer un nouveau produit, utiliser une nouvelle technologie ou développer un nouveau canal de distribution, le risque LBA/FT/FP doit donc déjà être intégré à la réflexion. C'est le passage d'une logique de contrôle a posteriori à une logique de prévention en amont.

Une obligation de démontrer la pertinence du dispositif

La circulaire va également plus loin sur la question de la justification. L'établissement doit formaliser son évaluation des risques, la mettre à jour selon les circonstances prévues par le texte et être en mesure de démontrer à la BCT la pertinence de ses évaluations ainsi que l'adéquation des mesures de vigilance mises en place.

Cette exigence change la nature de la responsabilité. Il ne suffit plus de dire " Nous avons une procédure ", la banque doit pouvoir démontrer que " Nous avons identifié le risque, nous l'avons évalué, nous avons choisi des mesures adaptées et nous sommes capables d'expliquer pourquoi. "

Cette différence est fondamentale, elle impose aux fonctions de contrôle de disposer d'une véritable capacité d'analyse. La conformité n'est plus seulement celle qui dit " non ", c'est probablement l'un des changements culturels les plus importants pour les banques tunisiennes.

La conformité traditionnelle pouvait être perçue comme la fonction qui intervient lorsqu'un projet arrive à la fin du processus pour identifier les interdictions, les insuffisances ou les risques réglementaires.

Le modèle vers lequel tend la réglementation est différent. La question devient : comment pouvons-nous réaliser cette opération tout en maîtrisant correctement son risque ? Cette nuance transforme la relation entre les métiers et la deuxième ligne. Le rôle de la conformité n'est pas de devenir une deuxième direction générale.

Il n'est donc pas davantage de décider à la place des métiers, mais elle doit être suffisamment impliquée pour pouvoir intervenir avant que le risque ne soit pris, et suffisamment indépendante pour pouvoir s'opposer à une décision lorsque le niveau de risque devient incompatible avec les règles ou l'appétit de l'établissement. C'est une évolution de responsabilité avant d'être une évolution d'organigramme.

Le contrôle ne s'arrête plus au client : il s'étend à la technologie

L'un des points les plus intéressants de la circulaire 2025-17 est précisément la prise en compte des technologies utilisées pour distribuer les produits et services. Ce point prend une importance particulière avec la transformation digitale du secteur.

Une banque qui lance une application mobile, un parcours d'ouverture de compte à distance, un nouveau moyen de paiement ou un service automatisé crée simultanément une nouvelle expérience client et une nouvelle surface de risque.

La technologie n'est donc plus neutre du point de vue réglementaire. Elle devient une variable du risque. Et cela signifie que les responsables Risques et Conformité doivent comprendre suffisamment les technologies utilisées pour pouvoir en apprécier les conséquences.

C'est un changement important dans les compétences attendues de ces fonctions. Le responsable conformité de demain ne pourra probablement plus être uniquement un excellent juriste. Il devra également comprendre les données, les systèmes, l'automatisation et les nouveaux parcours digitaux.

La deuxième ligne devient aussi responsable de la traçabilité. La transformation ne concerne pas seulement la décision, elle concerne également la preuve de la décision. La banque doit pouvoir reconstituer son raisonnement.

Pourquoi ce client a-t-il été classé dans telle catégorie de risque ? Pourquoi telle mesure de vigilance a-t-elle été appliquée ? Pourquoi telle opération a-t-elle été acceptée ? Sur quelles informations la décision reposait-elle ? Dans un environnement bancaire de plus en plus automatisé, cette capacité à expliquer et documenter la décision devient aussi importante que la décision elle-même.

Le contrôle réglementaire évolue ainsi progressivement vers une exigence de traçabilité. La banque ne doit pas seulement faire correctement mais elle doit également être capable de démontrer qu'elle a fait correctement.

Pour les banques, le véritable défi sera organisationnel. C'est probablement ici que se situe le véritable enjeu. Toutes les banques pourront créer des procédures, modifier leurs organigrammes, nommer un responsable Risques ou un responsable Conformité, mais cela ne signifie pas que toutes auront réellement transformé leur gouvernance.

Les vraies questions seront : le responsable Risques peut-il réellement influencer une décision commerciale ? Les données nécessaires à la décision sont-elles disponibles et fiables ? Les modèles de risque sont-ils réellement utilisés par les dirigeants ou uniquement produits pour satisfaire le régulateur ? Le système d'information permet-il de détecter rapidement les anomalies ? Les comités disposent-ils d'une information suffisamment claire pour arbitrer entre rendement et risque ?

C'est à ce niveau que se jouera la différence entre une banque qui se conforme et une banque qui intègre réellement le risque dans son modèle économique.

Et pour les investisseurs ? Cette transformation devrait également modifier progressivement la manière d'analyser les valeurs bancaires cotées à la Bourse de Tunis. Les ratios traditionnels resteront évidemment essentiels : rentabilité, coût du risque, coefficient d'exploitation, solvabilité, marge d'intérêt et qualité du portefeuille.

Mais ils ne suffiront peut-être plus. Deux banques affichant une rentabilité comparable peuvent avoir des capacités de gestion du risque très différentes. L'une peut fonctionner avec des données fragmentées, des processus essentiellement manuels et une deuxième ligne consultée tardivement.

L'autre peut disposer d'une architecture de données robuste, d'outils de scoring performants, d'une conformité intégrée aux projets et d'une fonction Risques capable d'influencer les décisions. La différence n'apparaîtra pas nécessairement immédiatement dans les résultats trimestriels. Elle apparaîtra lorsque le cycle du risque se retournera. C'est précisément à ce moment que la qualité de la gouvernance fera la différence.

La véritable mutation n'est donc pas réglementaire. Elle est managériale. Il serait excessif d'affirmer que la BCT a officiellement transformé la deuxième ligne de défense en " co-pilote " de la banque.

Les textes ne le disent pas ainsi mais ils créent progressivement les conditions de cette évolution. L'e-KYC oblige à intégrer la maîtrise du risque dans la conception des parcours numériques. IFRS 9 renforce la dimension prospective de la gestion du risque.

La gouvernance des données devient une composante du pilotage prudentiel. La circulaire 2025-17 impose d'identifier et d'évaluer les risques en tenant compte notamment des produits envisagés et des technologies utilisées pour leur distribution.

Et les textes de 2026 prolongent cette logique dans plusieurs domaines de l'écosystème financier. Pris séparément, ces textes peuvent apparaître comme une accumulation de contraintes réglementaires. Pris ensemble, ils racontent autre chose.

La banque tunisienne est progressivement invitée à changer sa manière de décider. Ainsi, le risque ne doit plus seulement être calculé après le business, il doit être intégré dans sa conception. La conformité ne doit plus uniquement constater l'anomalie, elle doit contribuer à empêcher qu'elle survienne.

De même, la fonction Risques ne doit plus seulement produire des indicateurs, elle doit fournir aux décideurs une lecture prospective leur permettant d'arbitrer entre rendement, capital et risque. Et, enfin, la donnée ne doit plus seulement servir au reporting, elle devient progressivement une matière première de la décision.

La deuxième ligne de défense ne prend donc pas officiellement le pouvoir, elle change de rôle. Et pour les banques tunisiennes, le véritable enjeu n'est plus seulement de se conformer aux nouveaux textes. C'est de transformer cette contrainte réglementaire en capacité de pilotage.

Car demain, l'avantage concurrentiel ne sera peut-être plus détenu par la banque qui prend le plus de risques, il appartiendra à celle qui saura le mieux mesurer jusqu'où elle peut raisonnablement aller.

Publié le 19/08/26 10:39