Gestion des risques de modèle (SR 11-7) et IA

La SR 11-7 a été publiée en avril 2011 par la Réserve fédérale en collaboration avec l'OCC, et la FDIC l'a adoptée en 2017. Elle définit un modèle au sens large : une méthode, un système ou une approche quantitative qui applique des théories statistiques, économiques, financières ou mathématiques pour transformer les données d'entrée en estimations quantitatives. Un modèle comporte une partie saisie, une partie traitement et une partie reporting. Le risque de modèle provient de deux sources : les erreurs fondamentales dans le modèle et l'utilisation incorrecte d'un modèle solide ou en dehors de son objectif prévu. Les orientations reposent sur trois piliers. Le premier est un développement, une mise en œuvre et une utilisation judicieuses. La seconde est la validation, qui comporte trois éléments principaux : l'évaluation de la solidité conceptuelle, la surveillance continue (y compris la vérification des processus et l'analyse comparative) et l'analyse des résultats telle que les back-testings. Le troisième est la gouvernance : surveillance du conseil d'administration et de la haute direction, politiques écrites, inventaire complet du modèle et documentation suffisamment détaillée pour qu'une personne non familière avec le modèle puisse comprendre son fonctionnement. Partout, les lignes directrices appellent à une « contestation efficace », c'est-à-dire à un examen critique par des personnes suffisamment objectives, informées, compétentes et influentes pour imposer des changements. Les modèles de fournisseurs ne bénéficient d’aucune exemption. Les banques sont censées obtenir la documentation appropriée auprès des fournisseurs. Lorsque des informations exclusives ne sont pas divulguées, les banques devraient s’appuyer davantage sur l’analyse de sensibilité, l’analyse comparative et les tests de résultats. Une idée fausse courante est que la SR 11-7 n’atteint pas l’IA car elle est antérieure à l’apprentissage automatique moderne. Sa définition est technologiquement neutre et les superviseurs ont considéré l’IA comme faisant partie de son champ d’application. Les banques classent généralement les outils d’IA générative comme modèles ou les régissent dans le cadre d’un cadre de risque d’IA plus large qui utilise les mêmes principes de validation. Les références connexes incluent le manuel du contrôleur 2021 de l'OCC sur la gestion des risques liés aux modèles et le cadre de gestion des risques du NIST AI, publié en janvier 2023. Pour les décisions de crédit, les exigences en matière d'avis d'action défavorable en vertu de l'Equal Credit Opportunity Act s'appliquent toujours lorsque le modèle est complexe.