Glossaire
Mis à jour
Qu'est-ce que la directive SR 26-2 et que remplace-t-elle ?
SR 26-2 désigne les Directives de supervision relatives à la gestion des risques liés aux modèles, publiées conjointement par le Conseil des gouverneurs de la Réserve fédérale, l'Office of the Comptroller of the Currency (OCC) et la Federal Deposit Insurance Corporation (FDIC) le 17 avril 2026. Elle annule et remplace la directive SR 11-7, Directives sur la gestion des risques liés aux modèles (4 avril 2011), ainsi que la directive SR 21-8, la déclaration interinstitutionnelle sur la gestion des risques liés aux modèles pour les systèmes bancaires soutenant la conformité au Bank Secrecy Act et à la lutte contre le blanchiment d'argent (9 avril 2021). À la même date, le bulletin de l'OCC 2026-13 a abrogé les bulletins de l'OCC 2011-12, 1997-24 et 2021-19, ainsi que le livret sur la gestion des risques liés aux modèles du manuel du contrôleur. Les agences précisent que cette révision reflète l'expérience de supervision et les retours d'expérience du secteur recueillis au cours des quinze dernières années.
À qui s'applique la directive SR 26-2 ?
Ces directives devraient s'appliquer principalement aux organisations bancaires dont le total des actifs dépasse 30 milliards de dollars. Les organisations se situant en deçà de ce seuil sont généralement exclues, ce que les agences décrivent comme cohérent avec une approche de supervision sur mesure, au motif que leurs modèles sont habituellement couverts par une gestion interne des risques adaptée à leur taille et à leur profil de risque. Cette exclusion n'est pas absolue. Les directives peuvent néanmoins s'appliquer à une organisation de taille plus modeste présentant une exposition significative aux risques liés aux modèles, soit en raison de la prévalence et de la complexité de ses modèles, soit en raison d'activités sortant du cadre de la banque de dépôt traditionnelle.
Qu'est-ce qui est considéré comme un modèle selon la directive SR 26-2 ?
Les directives définissent un modèle comme une méthode, un système ou une approche quantitative complexe qui applique des théories statistiques, économiques ou financières pour transformer des données d'entrée en estimations quantitatives. Cette définition comporte trois exclusions explicites : les calculs arithmétiques simples tels que ceux effectués dans des feuilles de calcul, les processus déterministes basés sur des règles, et les logiciels dont la conception ou l'utilisation ne repose sur aucune théorie statistique, économique ou financière. Les banques qui réévaluent leurs inventaires constatent souvent que le champ d'application se restreint, et que des outils qui figuraient dans l'inventaire des modèles sous la directive SR 11-7 en sont désormais exclus.
La directive SR 26-2 couvre-t-elle les modèles d'IA ?
En partie. Les directives précisent que l'IA générative et les modèles d'IA agentielle « sont nouveaux et évoluent rapidement » et « n'entrent pas dans le champ d'application de ces directives », tout en confirmant que leurs principes s'appliquent aux modèles statistiques et quantitatifs traditionnels ainsi qu'aux modèles d'IA non génératifs et non agentiels. Cette exclusion ne constitue pas une autorisation de laisser ces systèmes sans gouvernance. Les agences ajoutent que les pratiques de gestion des risques et de gouvernance d'une organisation bancaire doivent continuer à guider les contrôles appliqués à tout outil, processus ou système non couvert par le document. Cela a pour effet d'orienter l'IA générative et agentielle vers un cadre distinct, généralement le FS AI RMF ou le NIST AI RMF, soutenu par un inventaire de l'IA couvrant ces deux catégories.
La directive SR 26-2 est-elle contraignante ?
Non. Les directives stipulent qu'elles ne définissent pas de normes exécutoires ni d'exigences prescriptives, et que le non-respect ne se traduira pas en soi par des critiques de supervision à l'encontre d'une organisation bancaire. Il s'agit d'un changement notable par rapport à la manière dont la directive SR 11-7 a été traitée dans la pratique. Toutefois, la nuance est de taille : des mesures de supervision peuvent toujours découler de violations de la loi, ou de pratiques dangereuses ou non saines résultant d'une gestion insuffisante du risque de modèle. Les entreprises gagnent en flexibilité dans la manière dont elles justifient la gestion du risque lié aux modèles, mais ne bénéficient d'aucun assouplissement quant à l'obligation sous-jacente de le gérer.
Exemple
Une banque américaine détenant 60 milliards de dollars d'actifs réévalue l'inventaire de ses modèles au regard de la directive SR 26-2. Un calculateur de frais déterministe basé sur des règles sort du champ d'application selon la définition plus étroite du modèle ; la banque suspend donc le calendrier de validation de cet outil et consigne les justifications correspondantes. Son modèle d'évaluation du crédit basé sur le Machine Learning reste dans le champ d'application en tant que modèle d'IA non générative et conserve sa validation complète. Son assistant d'IA générative n'entre pas du tout dans le cadre de la directive ; la banque le régit donc sous un cadre d'IA distinct et documente cette décision, au motif que les autorités attendent toujours des contrôles appropriés pour les systèmes non couverts par la directive.