Le Bureau du surintendant des institutions financières impose des exigences en matière de gestion du risque pour les modèles traditionnels et ceux fondés sur l’intelligence artificielle

Le Bureau du surintendant des institutions financières (BSIF) a récemment publié la ligne directrice E-23 Gestion du risque de modélisation (2027) (la « ligne directrice »)¹, qui énonce des exigences exhaustives en matière de gestion du risque à l’égard de l’utilisation des modèles actuariels traditionnels et des modèles émergents fondés sur l’intelligence artificielle et l’apprentissage automatique. 

La ligne directrice entrera en vigueur le 1^er mai 2027, après une période de transition de 18 mois. Elle s’appliquera à toutes les institutions financières fédérales (IFF), y compris les succursales de banques et de sociétés d’assurance étrangères.

Gestion du risque de modélisation à l’échelle de l’entreprise

La ligne directrice tient compte du fait que les modèles jouent un rôle de plus en plus important dans la prise de décision, y compris dans des secteurs d’activité qui ne s’y référaient pas traditionnellement. Le BSIF vise à minimiser le risque de pertes financières et opérationnelles et d’atteinte à la réputation des IFF lié à l’utilisation accrue de modèles. 

La principale exigence du BSIF est que les IFF mettent en place une gestion du risque de modélisation (GRM) à l’échelle de l’entreprise. La GRM doit permettre aux IFF de comprendre et de gérer le risque de modélisation dans l’ensemble de l’entreprise et tout au long du cycle de vie du modèle, grâce à une approche fondée sur des principes.

La portée de la ligne directrice est large, les composantes d’un modèle étant comprises à la fois comme des données d’entrée, le traitement qui permet d’établir des liens entre les données d’entrée sur la base d’hypothèses ou de techniques statistiques (y compris, notamment, l’IA et l’apprentissage automatique), et les données de sortie dans un format utile pour les secteurs d’activité et les fonctions de contrôle. 

Gouvernance des modèles

Les IFF doivent s’assurer que le risque de modélisation est bien compris et géré. La haute direction devrait avoir une vue d’ensemble des risques à l’échelle de l’entreprise, établir des structures hiérarchiques efficaces et assurer une dotation adéquate en ressources pour soutenir la gouvernance des modèles et rendre compte au conseil d’administration du risque de modélisation. Il s’agit notamment de mettre en place des équipes pluridisciplinaires composées de personnes possédant les compétences et l’expérience nécessaires pour gérer ce risque. 

Le cadre de GRM à mettre en place par les IFF doit s’arrimer sur leurs objectifs stratégiques et leur propension à prendre des risques. Les modèles utilisés par les IFF doivent être adaptés à leurs activités. Par conséquent, le BSIF s’attend à ce que les cadres de GRM établissent des processus de détermination, de gestion et de déclaration du risque de modélisation d’une manière qui s’inscrit dans la structure de gouvernance plus large de l’IFF. 

Le BSIF reconnaît qu’il est impossible d’éliminer tous les risques de modélisation et que des risques résiduels peuvent subsister après la mise en œuvre d’un cadre de GRM adéquat. En outre, les exigences de la ligne directrice sont soumises au principe de proportionnalité. L’approche choisie par une IFF doit refléter sa taille, ses activités et sa stratégie, ainsi que son profil de risque et ses interrelations avec d’autres institutions financières.

Inventaire et cotation du risque

Les IFF doivent définir et suivre les modèles qu’elles utilisent ou qui ont récemment été mis hors service et tenir un inventaire des modèles. Cet inventaire doit être exhaustif et regrouper tout modèle développé en interne ou par des tiers, quel qu’en soit le propriétaire.

Selon l’inventaire des modèles, les IFF doivent classer et évaluer le risque inhérent à chaque modèle. Le BSIF s’attend à ce que la démarche de cotation se fonde à la fois sur des facteurs quantitatifs, tels que les répercussions sur le plan opérationnel ou financier, et sur des facteurs qualitatifs, tels que la complexité du modèle, les répercussions sur les clients et le risque réglementaire. 

Sur la base de la cotation du risque, la GRM doit définir les exigences applicables en matière de gouvernance, y compris la fréquence, la rigueur et la portée des activités de validation, la documentation, le suivi et l’approbation du modèle. Le cadre de GRM doit prévoir une validation plus attentive des modèles les plus importants ou les plus complexes que pour les modèles moins risqués. En outre, sur la base de la cotation du risque, le mécanisme de gestion des risques doit définir des limites à l’utilisation modale, des mesures de sauvegarde et des plans d’urgence.

Gestion du cycle de vie

Dans le cadre d’une approche dynamique du cycle de vie, la GRM doit tenir compte du risque de modélisation au moment de la conception, de l’utilisation et de la mise hors service des modèles. Les politiques, procédures et contrôles relevant de la GRM doivent prévoir des tests, un suivi et un examen continus tout au long du cycle de vie du modèle. Pour répondre à cette exigence, les IFF devront adopter des politiques permettant une certaine souplesse, notamment pour s’adapter aux technologies émergentes ou en évolution et aux changements organisationnels. 

La ligne directrice définit une série d’étapes clés dans le cycle de vie d’un modèle, depuis la conception du modèle, les données et le développement jusqu’au déploiement, à la surveillance et à la mise hors service. Les politiques et procédures prévues par la GRM doivent traiter d’une série d’aspects de chaque étape du cycle de vie du modèle. En outre, l’Annexe 1 de la ligne directrice définit les exigences minimales en matière de documentation relative aux modèles.  

Il est important de noter qu’en raison de la large portée de la ligne directrice, le traitement des données pertinentes est aussi pris en compte. Le BSIF s’attend à ce que les IFF mettent en place des contrôles pour vérifier la qualité et la pertinence des données. Les données et les modèles provenant de tiers doivent être désignés et gérés en tenant compte à la fois de la ligne directrice et de la ligne directrice B-10 du BSIF Ligne directrice sur la gestion du risque lié aux tiers.

Résumé

Le BSIF reconnaît que les IFF s’appuient de plus en plus sur un vaste ensemble de modèles complexes pour prendre leurs décisions. Dans ce contexte, la ligne directrice comble les lacunes laissées par l’absence d’adoption de la Loi sur l’intelligence artificielle et les données et vise à établir un équilibre entre l’innovation et la gestion du risque, grâce à une approche neutre sur le plan technologique et fondée sur des principes. Toutefois, le BSIF précise que les modèles ne doivent être utilisés que lorsqu’ils contribuent de manière significative à la prise de décision et à l’évaluation des risques. À cet égard, le BSIF s’attend à ce que les IFF formulent des énoncés clairs sur l’objectif d’un modèle et veillent à ce que des données, des systèmes et des technologies adéquats soient disponibles à cette fin.

L’approche du BSIF est conforme à une publication récente de l’Autorité des marchés financiers (AMF) du Québec qui définit une approche de la gestion des risques liés à l’IA fondée sur l’évaluation des risques et la gestion du cycle de vie. Pour en savoir plus sur le projet de ligne directrice de l’AMF sur l’utilisation de l’intelligence artificielle, veuillez consulter notre récente publication².