SREP nouvelle version : ce que l'intégration de DORA et de l'ESG au Pilier 2 change avant 2027

Un texte pivot pour la supervision prudentielle européenne

Le 26 juin 2026, l'Autorité bancaire européenne (EBA) a publié son rapport final sur les lignes directrices révisées relatives au processus de contrôle et d'évaluation prudentiels, le SREP, et aux tests de résistance prudentiels (EBA/GL/2026/06). Ces lignes directrices remplaceront, à compter du 1er janvier 2027, les précédentes lignes directrices SREP de 2022 (EBA/GL/2022/03) ainsi que les lignes directrices distinctes de 2017 sur l'évaluation du risque lié aux technologies de l'information et de la communication (EBA/GL/2017/05).

L'EBA présente cette révision comme une étape importante dans le renforcement de l'efficacité de la supervision : le texte consolide en un cadre unique des éléments jusqu'ici dispersés, tout en réduisant d'environ 30 % le volume global du document. Mais la consolidation formelle n'est pas le changement le plus structurant pour les établissements financiers. Ce qui compte, c'est la manière dont le risque TIC issu de DORA et les facteurs ESG sont désormais intégrés dans l'architecture même du Pilier 2.

Ce que la révision change concrètement

Trois évolutions de fond ressortent du texte publié par l'EBA.

L'absorption du risque TIC/DORA dans le risque opérationnel. Les lignes directrices de 2017 sur le risque TIC, jusqu'ici autonomes, disparaissent en tant que texte séparé : leur contenu est repris et intégré au traitement du risque opérationnel dans le cadre SREP unique. Pour les superviseurs comme pour les établissements, cela signifie que la résilience opérationnelle numérique (au sens de DORA) devient un élément constitutif de l'évaluation SREP courante, et non plus un chapitre à part traité en parallèle.

L'intégration des facteurs ESG dans les différents blocs du SREP. Les risques environnementaux, sociaux et de gouvernance ne font plus l'objet d'un traitement isolé : ils sont désormais pris en compte de manière transversale dans l'évaluation du modèle d'affaires, de la gouvernance interne et des risques, au même titre que le risque de crédit ou le risque de marché.

La clarification de l'articulation entre Pilier 1 et Pilier 2. Le texte précise comment les exigences de Pilier 2 (P2R et P2G) s'articulent avec le plancher de sortie (output floor) introduit par CRR3, ainsi qu'avec le traitement prudentiel des succursales de pays tiers, un point qui concerne directement les groupes bancaires ayant une présence hors Union européenne.

Pourquoi cette échéance concerne dès maintenant les équipes risques et conformité

Une entrée en application au 1er janvier 2027 peut sembler lointaine depuis septembre 2026. Elle ne l'est pas, pour trois raisons.

D'abord, le SREP ne s'évalue pas au moment de son entrée en vigueur : il s'appuie sur les dispositifs internes que l'établissement a construits en amont, en particulier son processus interne d'évaluation de l'adéquation du capital (ICAAP) et son processus interne d'évaluation de l'adéquation de la liquidité (ILAAP). Si ces dispositifs ne reflètent pas déjà la nouvelle architecture (risque TIC intégré au risque opérationnel, facteurs ESG transversaux), l'écart apparaîtra dès le premier exercice mené sous le nouveau cadre.

Ensuite, la clarification de l'articulation entre Pilier 1 et Pilier 2, notamment autour du plancher de sortie CRR3, a une incidence directe sur la manière dont un établissement doit motiver son P2R (Pillar 2 Requirement) et son P2G (Pillar 2 Guidance) lorsque l'output floor devient contraignant. Les équipes en charge de la planification du capital ont donc intérêt à anticiper cette clarification dans leurs projections plutôt que de la découvrir au moment de la revue de supervision.

Enfin, la fusion du risque TIC dans le risque opérationnel change la manière dont la documentation doit être organisée en interne. Un établissement qui maintient une documentation DORA totalement séparée de sa cartographie des risques opérationnels devra probablement revoir cette architecture documentaire avant l'échéance, pour être en mesure de présenter une vision consolidée au superviseur.

Points de vigilance pour les équipes risques, conformité et capital

• Vérifier que la cartographie du risque opérationnel intègre d'ores et déjà les éléments de résilience TIC issus de DORA, plutôt que de les maintenir dans un document distinct.
• Revoir la trame de l'ICAAP et de l'ILAAP pour s'assurer qu'ils reflètent une intégration transversale des facteurs ESG, et non un chapitre isolé.
• Documenter, pour les groupes concernés, la manière dont l'articulation Pilier 1 / Pilier 2 est motivée à la lumière du plancher de sortie CRR3.
• Pour les établissements ayant des succursales de pays tiers, identifier les nouvelles lignes directrices dédiées et évaluer l'écart avec les pratiques actuelles.
• Planifier une revue de la documentation prudentielle interne avant la fin du premier semestre 2026, pour disposer d'une marge d'ajustement avant le 1er janvier 2027.

Ce qu'il faut retenir

La révision du SREP n'est pas un exercice de toilettage réglementaire : elle acte que la résilience opérationnelle numérique et les facteurs ESG ne sont plus des sujets périphériques de la supervision bancaire, mais des composantes ordinaires de l'évaluation du Pilier 2. Les établissements qui ont déjà traité DORA et l'ESG comme des chantiers cloisonnés devront, avant le 1er janvier 2027, démontrer que ces dimensions s'articulent avec le reste de leur dispositif de gestion des risques, et non plus qu'elles existent à côté de lui.