Les établissements assujettis calculent leurs exigences de fonds propres relatives au risque opérationnel en tenant compte à la fois des pertes attendues et des pertes inattendues, sauf lorsqu'ils apportent la preuve que les pertes attendues ont été dûment prises en compte au titre de leurs pratiques internes. Leur modèle interne de mesure du risque opérationnel prend en compte l'éventualité d'événements extrêmes situés en queue de courbe de distribution statistique, de manière à obtenir une fiabilité comparable à un intervalle de confiance de 99,9 % sur une période d'un an.

Le système de mesure du risque opérationnel des établissements assujettis :
a) Tient compte obligatoirement de données internes, de données externes, d'analyses de scénarios et de facteurs reflétant l'environnement dans lequel ils opèrent. La prise en compte de ces quatre éléments fait l'objet d'une documentation qui explicite et justifie le rôle attribué à chacun d'entre eux ;
b) Prend en compte les principaux facteurs de risque influençant la forme de la queue de distribution statistique.

La Commission bancaire peut autoriser la prise en compte des effets de corrélations entre les estimations de pertes pour risque opérationnel lorsque l'établissement assujetti démontre que son système d'analyse et de mesure de ces corrélations repose sur des principes robustes et qu'il est mis en oeuvre de manière intègre. Ce système prend en compte l'incertitude que comporte toute estimation de corrélations, notamment en période de crise. L'établissement assujetti valide ses hypothèses de calcul de corrélations au moyen de techniques quantitatives et qualitatives appropriées.

Le système de mesure du risque opérationnel est cohérent au sein de l'établissement assujetti et évite la prise en compte multiple d'évaluations qualitatives des risques ou des techniques de réduction des risques lorsqu'elles ont déjà été prises en compte par ailleurs dans le calcul de leur exigence de fonds propres.

Les données internes utilisées par les établissements assujettis respectent les critères suivants :
a) Les méthodes de mesure interne du risque opérationnel sont fondées sur une période d'observation historique minimale de cinq ans ;
b) Les établissements assujettis sont en mesure d'affecter leurs données historiques internes de pertes à l'annexe IV et aux catégories d'évènements visées à ladite annexe et peuvent fournir ces données à la Commission bancaire. L'affectation des pertes aux lignes d'activité et aux catégories d'événements répond à des critères objectifs, dûment documentés ;
c) Les pertes de risque opérationnel en rapport avec le risque de crédit dont les historiques ont été répertoriés dans les bases de données internes relatives au risque de crédit sont enregistrées dans les bases de données relatives au risque opérationnel et identifiées séparément. Ces pertes ne font pas l'objet d'une exigence de fonds propres au titre du risque opérationnel tant qu'elles sont traitées comme un risque de crédit aux fins du calcul des exigences de fonds propres. Les pertes de risque opérationnel en rapport avec le risque de marché sont incluses dans les exigences de fonds propres au titre du risque opérationnel ;
d) Les données internes de pertes sont exhaustives et incluent notamment toutes les activités et toutes les expositions significatives, au travers de l'ensemble des composantes des systèmes d'information de l'établissement assujetti et quelle que soit leur localisation géographique. Les établissements assujettis peuvent démontrer que les activités et les expositions exclues, qu'elles soient prises dans leur ensemble ou séparément, n'ont aucune incidence significative sur l'estimation globale des risques ;
e) Des seuils de perte minimale, adaptés à la collecte des données internes de pertes, sont définis ;
f) Les établissements assujettis répertorient les montants bruts des pertes ainsi que des informations sur la date de chaque événement, les montants éventuellement recouvrés et les facteurs ou les causes à l'origine de chaque perte ;
g) L'affectation des pertes résultant d'une fonction centralisée, d'une activité commune à plusieurs lignes d'activité, ou d'événements liés entre eux dans le temps, répond à des critères dûment documentés et justifiés ;
h) Une procédure d'évaluation est mise en place pour s'assurer que les données historiques de pertes demeurent pertinentes. Cette procédure est dûment documentée et porte notamment sur :
i) les cas où un jugement d'expert prime sur les résultats du modèle ou pour lesquels une révision du montant ou tout autre ajustement peuvent être décidés ;
ii) la façon dont ces décisions peuvent s'appliquer ;
iii) les personnes habilitées à prendre ces décisions.

Le système d'analyse et de mesure du risque opérationnel de l'établissement assujetti utilise des données externes pertinentes, notamment lorsque l'établissement encourt un risque de pertes sévères, y compris exceptionnelles.
L'établissement met en oeuvre un processus systématique pour déterminer les situations où des données externes doivent être utilisées, ainsi que des méthodologies pour intégrer ces données dans son système de mesure et d'analyse du risque opérationnel. Les conditions et les pratiques d'utilisation des données externes sont dûment documentées, revues régulièrement, et font l'objet de contrôles périodiques indépendants.

Pour évaluer leur exposition aux événements extrêmes, les établissements assujettis recourent à l'analyse de scénarios fondés sur des avis d'experts et s'appuyant sur des données externes. Ces évaluations sont périodiquement validées et revues au regard des pertes internes ou externes constatées afin de s'assurer de leur fiabilité.

La méthodologie d'analyse et de mesure du risque opérationnel des établissements assujettis prend en compte les facteurs relatifs au contrôle interne et à l'environnement dans lequel ils opèrent susceptibles de modifier leur profil de risque opérationnel conformément aux dispositions suivantes :
a) Le choix de chaque facteur doit être justifié par son incidence effective en termes de risque, au regard de l'expérience et sur la base des jugements d'expert dans le domaine d'activité considéré ;
b) La sensibilité des estimations de risque aux variations des facteurs, et leur prise en compte, repose sur des études approfondies. Le système de mesure et d'analyse du risque opérationnel prend en compte non seulement les variations du risque liées à l'amélioration du contrôle interne mais aussi les aggravations possibles du risque liées à une complexité accrue des activités ou à une augmentation du volume d'activité ;
c) La prise en compte des facteurs relatifs au contrôle interne et à l'environnement dans lequel l'établissement assujetti opère est dûment documentée et fait l'objet de contrôles périodiques indépendants ;
d) Les établissements assujettis valident périodiquement et réévaluent leur dispositif de prise en compte des facteurs susvisés et ses résultats, notamment au regard des pertes internes effectivement subies et des données pertinentes externes de perte.

Les établissements assujettis peuvent prendre en compte l'effet des techniques d'assurance, en tant que facteur de réduction des exigences de fonds propres lorsque les conditions suivantes sont respectées :
a) Le fournisseur de protection dispose d'un agrément pour fournir des produits d'assurance ou de réassurance, et fait l'objet d'une évaluation externe de crédit d'un échelon de qualité au moins égal à 3 conformément aux dispositions du titre II ;
b) Le produit d'assurance et le dispositif d'assurance des établissements assujettis remplissent les conditions suivantes :
i) le contrat d'assurance a une durée initiale au moins égale à un an. Pour les contrats dont la durée résiduelle est inférieure à un an, l'établissement assujetti applique une décote appropriée reflétant la diminution progressive de cette durée et allant jusqu'à 100 % pour les contrats dont la durée résiduelle est inférieure ou égale à 90 jours ;
ii) le contrat d'assurance est assorti d'un préavis de résiliation d'au moins 90 jours ;
iii) le contrat d'assurance ne comporte ni exclusion ni limitation résultant d'une décision des autorités de contrôle ou rendant impossible, en cas d'insolvabilité de l'établissement assujetti, pour l'administrateur, le liquidateur ou l'établissement, l'obtention d'une réparation au titre des dommages subis ou des frais engagés par l'établissement. Cette dernière disposition ne s'applique pas en cas d'événements survenant après l'ouverture d'une procédure de liquidation à l'encontre de l'établissement assujetti, pour autant que le contrat d'assurance puisse exclure toute amende, pénalité ou dommage-intérêt résultant d'une décision des autorités de contrôle ;
iv) le calcul de réduction du risque reflète de façon transparente et cohérente l'effet de l'assurance au regard des probabilités d'occurrence utilisées et de la sévérité des pertes ;
v) l'assurance est fournie par une entité tierce. Dans le cas d'une entreprise captive ou d'une entreprise appartenant au même groupe que l'établissement assujetti, le risque doit être transféré à une entité tierce externe au groupe, notamment au moyen de techniques de réassurance. Cette entité tierce respecte les critères susvisés ;
vi) le dispositif de prise en compte de l'assurance est dûment étayé et documenté.

La méthodologie de prise en compte des assurances utilisée par l'établissement assujetti doit tenir compte des éléments suivants par des réductions ou décotes appliquées au montant pris en compte au titre de l'assurance :
a) La durée résiduelle du contrat d'assurance, lorsque celle-ci est inférieure à un an, conformément aux dispositions visées au i) de l'alinéa b de l'article 371-1 ;
b) Les conditions de résiliation du contrat d'assurance, lorsque sa durée résiduelle est inférieure à un an ;
c) L'incertitude des paiements concernant l'indemnisation ainsi que toute asymétrie entre la protection fournie par les contrats d'assurance et l'exposition au risque opérationnel.

La réduction d'exigence de fonds propres résultant de la prise en compte de l'assurance ne peut pas dépasser 20 % de l'exigence de fonds propres totale au titre du risque opérationnel avant prise en compte des effets des techniques de réduction du risque.