Les entreprises assujetties mettent en place des systèmes d'analyse et de mesure des risques en les adaptant à la nature et au volume de leurs opérations afin d'appréhender les risques de différentes natures auxquels ces opérations les exposent, et notamment les risques de crédit et de contrepartie, résiduel, de concentration, de marché, de taux d'intérêt global, de base, d'intermédiation, de règlement-livraison, de liquidité, de titrisation, de levier excessif, ainsi que les risques systémiques, les risques liés au modèle et le risque opérationnel et le risque de sécurité.

Ces systèmes permettent également d'appréhender de manière transversale et prospective l'analyse et la mesure des risques.

Les entreprises assujetties, les compagnies financières holding et les entreprises mères de société de financement mentionnées à l'article 8 disposent également, sur base consolidée ou, le cas échéant, sous-consolidée, de systèmes de mesure adaptés à la nature et au volume de leurs opérations leur permettant d'appréhender les risques de crédit et de contrepartie, résiduel, de concentration, de marché, de taux d'intérêt global, de base, d'intermédiation, de règlement-livraison, de liquidité, de titrisation, de levier excessif, ainsi que les risques systémiques, les risques liés au modèle et le risque opérationnel.

Les entreprises assujetties disposent de systèmes et procédures fiables, efficaces et exhaustifs pour évaluer et conserver en permanence les montants, les types ainsi que la répartition de capital interne qu'elles jugent appropriés compte tenu de la nature et du niveau des risques auxquels elles sont ou pourraient être exposées.

Ces systèmes et procédures font l'objet d'un contrôle interne régulier, visant à assurer qu'ils restent exhaustifs et adaptés à la taille, aux implantations ainsi qu'à la nature, à l'échelle et à la complexité des risques inhérents au modèle d'entreprise et aux activités des entreprises assujetties.

Les systèmes d'analyse et de mesure des risques prévus aux articles 94 et 95 prévoient les critères et seuils permettant d'identifier comme significatifs ou majeurs les incidents révélés par les procédures de contrôle interne.

Ces critères sont adaptés à l'activité de l'entreprise assujettie et couvrent les risques de perte y compris lorsque celle-ci ne s'est pas matérialisée.

Est réputée à cet effet significative toute fraude entraînant une perte ou un gain d'un montant brut dépassant 0,5 pour cent des fonds propres de base de catégorie 1, sans pouvoir être inférieure à dix mille euros.

Les entreprises assujetties mettent en place des systèmes et procédures permettant d'appréhender globalement l'ensemble des risques associés aux activités bancaires et non-bancaires de l'entreprise assujettie, notamment de crédit et de contrepartie, résiduel, de concentration, de marché, de taux d'intérêt global, de base, d'intermédiation, de règlement-livraison, de liquidité, de titrisation, de levier excessif, ainsi que les risques systémiques, les risques liés au modèle et le risque opérationnel.

Ces systèmes et procédures permettent aux entreprises assujetties de mesurer et de gérer toutes les causes et tous les effets significatifs des risques et de disposer d'une cartographie des risques qui identifie et évalue les risques encourus au regard de facteurs internes et externes.

Les facteurs internes comprennent notamment la complexité de l'organisation, la nature des activités exercées, le professionnalisme des personnels et la qualité des systèmes.
Les facteurs externes comprennent notamment les conditions économiques et les évolutions réglementaires.

La cartographie mentionnée à l'article 100 :
a) Prend en compte l'ensemble des risques encourus ;
b) Est établie par entité ou ligne de métier, au niveau auquel est exercée, le cas échéant, la surveillance consolidée, sous-consolidée ou complémentaire ;
c) Evalue l'adéquation des risques encourus par rapport aux évolutions de l'activité ;
d) Identifie les actions en vue de maîtriser les risques encourus, par :

- le renforcement des dispositifs de contrôle permanent ;
- la mise en œuvre des systèmes de surveillance et de maîtrise des risques mentionnés au titre V ;
- la définition des plans d'urgence et de continuité de l'activité prévus à l'article 215.

L'ensemble des systèmes et procédures mentionnés aux articles 94 à 102 fait l'objet d'une actualisation et d'une évaluation régulières.