Décret n° 2025-876 du 1er septembre 2025 modifiant le décret n° 2020-94 du 5 février 2020 relatif au contrôle interne et externe de la Caisse des dépôts et consignations

Article 1 JORFARTI000052180317

Le décret n° 2020-94 du 5 février 2020 susvisé est modifié conformément aux articles 2 à 23 du présent décret.

Article 2 JORFARTI000052180319

Au 4° de l'article 4, après les mots : « maîtrise des risques », sont insérés les mots : «, y compris ceux liés aux technologies de l'information et de la communication ».

Article 3 JORFARTI000052180320

L'article 8 est ainsi modifié :

1° Le 7° et le 8° sont remplacés par un 7° ainsi rédigé :

« 7° Risque opérationnel : conformément au point 52 du paragraphe 1 de l'article 4 du règlement (UE) n° 575/2013 susvisé, le risque de perte découlant d'une inadéquation ou d'une défaillance des processus, du personnel et des systèmes internes ou d'événements extérieurs, y compris, mais sans s'y limiter, le risque juridique, le risque de modèle ou le risque lié aux technologies de l'information et de la communication (TIC), à l'exclusion toutefois du risque stratégique et pour la réputation ; »

2° Au 13° :

a) Après les mots : « administrative ou disciplinaire, », est inséré le mot : « ou » ;

b) Les mots : « ou d'atteinte à la réputation » sont supprimés ;

3° Le 25° est supprimé ;

4° L'article est complété par trois alinéas ainsi rédigés :

« 34° Risque lié aux technologies de l'information et de la communication : circonstance telle que définie au point 5 de l'article 3 du règlement (UE) n° 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011 ;

« 35° Sécurité des réseaux et des systèmes d'information : la sécurité des réseaux et systèmes d'information telle que définie au point 4 de l'article 3 du règlement (UE) n° 2022/2554 mentionné ci-dessus ;

« 36° Services TIC : les services numériques et de données fournis de manière permanente par l'intermédiaire des systèmes de technologies de l'information et de la communication à un ou plusieurs utilisateurs internes ou externes, dans les conditions prévues au point 21 de l'article 3 du règlement (UE) n° 2022/2554 mentionné ci-dessus. »

Article 4 JORFARTI000052180321

Le premier alinéa de l'article 39 est complété par une phrase ainsi rédigée : « Au moins une fois par an, il lui rend compte des constatations visées au paragraphe 3 de l'article 13 du règlement (UE) n° 2022/2554 du Parlement européen et du conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011 et formule des recommandations. »

Article 5 JORFARTI000052180322

Au premier alinéa de l'article 53, après les mots : « le risque opérationnel », sont ajoutés les mots : « dont les risques liés aux technologies de l'information et de la communication ».

Article 6 JORFARTI000052180323

A l'article 54, après les mots : « le risque opérationnel », sont ajoutés les mots : « dont les risques liés aux technologies de l'information et de la communication ».

Article 7 JORFARTI000052180325

L'article 60 est ainsi modifié :

1° Au premier alinéa, les mots : « et la qualité des systèmes » sont remplacés par les mots : «, la qualité des systèmes et la sécurité des réseaux et des systèmes d'information » ;

2° Au second alinéa, après les mots : « les évolutions réglementaires », sont ajoutés les mots : «, les cybermenaces et les prestations externalisées de services, notamment celles liées aux technologies de l'information et de la communication ».

Article 8 JORFARTI000052180326

A l'article 76, les mots : « y compris de réputation, » sont supprimés.

Article 9 JORFARTI000052180327

L'article 130 est remplacé par trois articles 130,130-1 et 130-2 ainsi rédigés :

« Art. 130.-La Caisse des dépôts et consignations met en œuvre une politique de rémunération applicable à son personnel qui est conforme à sa stratégie économique, ses objectifs, ses valeurs et ses intérêts à long terme. Elle comprend des mesures destinées à éviter les conflits d'intérêts. Elle est conçue pour favoriser une gestion saine et effective des risques.

« Cette politique n'encourage pas une prise de risque excédant le niveau défini par la Caisse des dépôts et consignations.

« La commission de surveillance :

« 1° Approuve les principes généraux de la politique de rémunération de la Caisse des dépôts et consignations et en contrôle la mise en œuvre ;

« 2° Vérifie annuellement, sur le rapport de la direction générale, la conformité de la politique de rémunération aux dispositions du présent article et des articles 130-1 et 130-2 ;

« 3° Approuve l'enveloppe globale annuelle des rémunérations des catégories de personnel mentionnées au premier alinéa de l'article 130-2 ;

« 4° Vérifie annuellement, sur le rapport de la direction générale, la conformité des critères d'évaluation prévus par le deuxième alinéa de l'article 130-2 avec la politique de rémunération, et peut, le cas échéant, formuler des recommandations pour la détermination des critères d'évaluation de l'année suivante.

« Les procédures et la politique de rémunération sont soumises annuellement à une évaluation interne centrale et indépendante qui est présentée au directeur général et à la commission de surveillance.

« Art. 130-1.-La politique de rémunération de la Caisse des dépôts et des consignations établit une distinction reposant sur des critères clairs entre la rémunération fixe de base et la rémunération variable.

« La rémunération fixe de base reflète l'expérience professionnelle en lien avec la fonction occupée et les responsabilités exercées telles qu'elles sont stipulées dans le contrat de travail ou mentionnées dans la fiche de poste.

« La rémunération variable reflète des performances durables et conformes à la politique des risques. Elle peut également refléter les performances allant au-delà des stipulations du contrat de travail ou des prévisions de la fiche de poste.

« Lorsqu'elle prend en compte les performances, la rémunération variable est établie sur la base d'une évaluation combinée des performances individuelles de la personne, de celles de son unité opérationnelle ainsi que des résultats d'ensemble de la Caisse des dépôts et des consignations. La mesure des performances tient compte de l'ensemble des risques auxquels la Caisse des dépôts et des consignations est ou est susceptible d'être exposée. Elle s'inscrit dans un cadre pluriannuel.

« Le personnel exerçant des fonctions de contrôle est rémunéré en fonction de la réalisation des objectifs liés à ses fonctions, indépendamment des performances de celle des domaines d'activités qu'il contrôle.

« Les rémunérations variables garanties sont interdites. Toutefois, elles peuvent être exceptionnellement accordées dans les conditions et limites prévues au troisième alinéa de l'article L. 511-77 du code monétaire et financier.

« Art. 130-2.-La commission de surveillance détermine, sur proposition du directeur général, les catégories de personnel dont les activités professionnelles ont une incidence significative sur le profil de risque de l'établissement. Elles comprennent au moins les membres du personnel chargés de la direction des fonctions de contrôle de l'établissement ou des unités opérationnelles importantes et qui rendent des comptes au directeur général ou à la commission de surveillance.

« L'évaluation de la rémunération variable des personnels mentionnés au premier alinéa du présent article comprend au moins un critère d'évaluation de leur performance individuelle au titre de la gestion saine et efficace des risques de la Caisse des dépôts et consignations.

« La part variable de la rémunération totale des personnels mentionnés au premier alinéa du présent article ne peut excéder le montant de la part fixe, sauf dérogation accordée par le directeur général en conformité avec les principes généraux de la politique de rémunération approuvés par la commission de surveillance. »

Article 10 JORFARTI000052180329

L'article 134 est ainsi modifié :

1° Au 1°, après les mots : « de l'activité », sont insérés les mots : «, ainsi que des plans de réponse et de rétablissement des technologies de l'information et de la communication concernant les technologies qu'elle utilise pour la communication d'informations » ;

2° Au 3°, le mot : « défini » est remplacé par les mots : « dont les principes, y compris en matière de technologie de l'information et de la communication, sont définis ».

Article 11 JORFARTI000052180330

A l'article 135, après les mots : « des risques opérationnels », sont ajoutés les mots : «, y compris ceux liés aux technologies de l'information et de la communication ».

Article 12 JORFARTI000052180332

L'article 152 est ainsi modifié :

1° Au 1°, après les mots : « ses activités externalisées », sont insérés les mots : «, y compris les services TIC » ;

2° Au 2°, après les mots : « ses activités externalisées », sont ajoutés les mots : «, y compris les services TIC ».

Article 13 JORFARTI000052180333

Après l'article 157, est ajoutée une section 3 ainsi rédigée :

« Section 3

« Résilience opérationnelle numérique

« Art. 157-1.-I.-Les dispositions de la présente section sont applicables aux activités bancaires et financières de la Caisse des dépôts et consignations mentionnées à l'article L. 518-15-2 du code monétaire et financier.

« II.-Sont rendues applicables à la Caisse des dépôts et consignations les dispositions applicables aux entités financières prévues aux articles suivants du règlement (UE) n° 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011 sur la résilience opérationnelle numérique du secteur financier :

« 1° Les articles 1,3 et 4 du chapitre Ier “ Dispositions générales ” ;

« 2° Les articles 6 à 14 du chapitre II “ Gestion du risque lié aux TIC ” ;

« 3° Les articles 17, les paragraphes 1 et 2 de l'article 18 et 23, ainsi que les paragraphes 1 à 5 de l'article 19, du chapitre III “ Gestion, classification et notification des incidents liés aux TIC ” ;

« 4° Les articles 24 à 27 du chapitre IV “ Tests de résilience opérationnelle numérique ” ;

« 5° Les paragraphes 1 à 8 de l'article 28, les articles 29 et 30 du chapitre V “ Gestion des risques liés aux prestataires tiers de services TIC ” ;

« III.-Pour l'application des dispositions de la présente section, le ministre chargé de l'économie détermine par arrêté la liste des prestataires qui ne sont pas considérés comme des prestataires tiers de services TIC au sens de la présente section.

« IV.-Pour l'application du e du paragraphe 3 de l'article 17 du règlement (UE) n° 2022/2554 mentionné ci-dessus, l'organe de direction est le directeur général et, dans la mesure où celle-ci l'a prévu en application de l'article 161 du présent décret, la commission de surveillance.

« Art. 157-2.-I.-La Caisse des dépôts et consignations dispose d'un cadre de gouvernance et de contrôle interne qui garantit une gestion efficace et prudente du risque lié aux technologies de l'information et de la communication, conformément au paragraphe 4 de l'article 6 du règlement (UE) n° 2022/2554 mentionné ci-dessus, en vue d'atteindre un niveau élevé de résilience opérationnelle numérique.

« II.-Aux fins du I, la commission de surveillance :

« 1° Approuve et surveille le respect du cadre de gestion du risque lié aux technologies de l'information et de la communication visé au paragraphe 1 de l'article 6 du règlement (UE) n° 2022/2554 mentionné ci-dessus ;

« 2° Approuve la stratégie de résilience opérationnelle numérique visée au paragraphe 8 de l'article 6 du règlement (UE) n° 2022/2554 mentionné ci-dessus ;

« 3° Approuve la politique concernant les modalités d'utilisation des services TIC qui soutiennent des fonctions critiques ou importantes fournis par des prestataires tiers de services TIC.

« III.-Aux fins du I, le directeur général :

« 1° Définit et est responsable de la mise en œuvre des dispositions relatives au cadre de gestion du risque lié aux technologies de l'information et de la communication visé au paragraphe 1 de l'article 6 du règlement (UE) n° 2022/2554 mentionné ci-dessus. A ce titre, il :

« a) Assume la pleine responsabilité de la gestion du risque lié aux technologies de l'information et de la communication de la Caisse des dépôts et consignations ;

« b) Met en place des stratégies visant à garantir le maintien de normes élevées en matière de disponibilité, d'authenticité, d'intégrité et de confidentialité des données ;

« c) Définit clairement les rôles et les responsabilités pour toutes les fonctions liées aux technologies de l'information et de la communication et met en place des dispositifs de gouvernance appropriés pour assurer une communication, une coopération et une coordination efficaces et en temps utile entre ces fonctions ;

« 2° Définit la stratégie de résilience opérationnelle numérique mentionnée au paragraphe 8 de l'article 6 du règlement (UE) n° 2022/2554 mentionné ci-dessus ;

« 3° Définit et examine périodiquement la mise en œuvre de la politique de continuité des activités de technologies de l'information et de la communication de la Caisse des dépôts et consignations et des plans de réponse et de rétablissement des technologies de l'information et de la communication mentionnés, respectivement, aux paragraphes 1 et 3 de l'article 11 du règlement (UE) n° 2022/2554 mentionné ci-dessus, qui peuvent être adoptés en tant que politique spécifique faisant partie intégrante de la politique globale de continuité des activités et du plan de réponse et de rétablissement ;

« 4° Approuve et examine périodiquement les plans internes d'audit des technologies de l'information et de la communication et les audits de ces technologies de la Caisse des dépôts et consignations ainsi que les modifications significatives qui y sont apportées ;

« 5° Définit et examine périodiquement la politique concernant les modalités d'utilisation des services TIC fournis par des prestataires tiers de services TIC ;

« 6° Met en place, au niveau de l'établissement public, des canaux de notification lui permettant d'être dûment informé :

« a) Des accords conclus avec des prestataires tiers de services TIC sur l'utilisation des services TIC ;

« b) De tout changement significatif pertinent prévu concernant les prestataires tiers de services TIC ;

« c) Des incidences potentielles de ces changements sur les fonctions critiques ou importantes faisant l'objet des accords mentionnés au a, notamment un résumé de l'analyse des risques visant à évaluer les incidences de ces changements, et au minimum des incidents majeurs liés aux technologies de l'information et de la communication et de leur incidence, ainsi que des mesures de réponse, de rétablissement et de correction.

« IV.-La Caisse des dépôts et consignations institue un suivi des accords conclus avec des prestataires tiers de services TIC sur l'utilisation des services TIC. Son directeur général est chargé de superviser l'exposition aux risques connexe et la documentation pertinente.

« V.-Le directeur général et les membres de la commission de surveillance maintiennent activement à jour des connaissances et des compétences suffisantes pour comprendre et évaluer le risque lié aux technologies de l'information et de la communication et son incidence sur les opérations de la Caisse des dépôts et consignations, notamment en suivant régulièrement une formation spécifique, proportionnée au risque lié aux technologies de l'information et de la communication dont ils assurent la gestion. »

Article 14 JORFARTI000052180335

Au 1° de l'article 167, après les mots : « est exposée, notamment », sont insérés les mots : « des constats et recommandations mentionnés à l'article 39, ».

Article 15 JORFARTI000052180336

L'article 180 est ainsi modifié :

1° A la première phrase du premier alinéa :

a) Les mots : « du règlement » sont remplacés par les mots : « des règlements » ;

b) Après le mot : « susvisé », sont insérés les mots : « et (UE) n° 2022/2554 mentionné ci-dessus » ;

2° Au deuxième alinéa, les mots : « du règlement ci-dessus mentionné » sont remplacés par les mots : « des règlements mentionnés au premier alinéa ».

Article 16 JORFARTI000052180337

Le deuxième alinéa de l'article 185 est remplacé par les dispositions suivantes :

« Articles 25,26,28,30,31,36 à l'exception des points g, h, i et du i du point k du paragraphe 1,37 à 42,47 bis à 47 quater, 48 à l'exception du point b du paragraphe 1,50 à 55,56 à l'exception des points c et d, 57,58,61 à 65,66 à l'exception des points c, d et e, 67,68,71 à 72,73 à 74,76 à 78,79 bis, 81 à 88 et 88 ter. »

Article 17 JORFARTI000052180338

L'article 186 est remplacé par les dispositions suivantes :

« Art. 186.-Sont rendues applicables à la Caisse des dépôts et consignations, les dispositions suivantes de la partie III intitulée : “ Exigences de fonds propres ” du règlement (UE) n° 575/2013 susvisé : articles 92,94,102,103,104 à l'exception du dernier alinéa du paragraphe 1 à 302,305,306 et 311 bis à 386.

« Pour l'application des articles 102 à 106 du règlement (UE) n° 575/2013 susvisé, la Caisse des dépôts et consignations n'applique pas les présomptions d'affectation au portefeuille de négociation pour les positions sur les instruments mentionnés aux points c, d, f et g du paragraphe 2 de l'article 104 du même règlement.

« Pour l'application de l'article 126 bis du règlement (UE) n° 575/2013 susvisé, les expositions sur l'acquisition de terrains, la promotion immobilière et la construction prenant la forme de prêts accordés pour le financement du logement social, au sens du III de l'article L. 221-7 du code monétaire et financier, reçoivent une pondération de risque de 100 %.

« Pour l'application du paragraphe 2 de l'article 128 du règlement (UE) n° 575/2013 susvisé, les expositions sur créances subordonnées de la Caisse des dépôts et consignations reçoivent une pondération de risque de 100 %.

« Pour l'application des paragraphes 3 et 4 de l'article 133 du règlement (UE) n° 575/2013 susvisé, les expositions sur actions de la Caisse des dépôts et consignations reçoivent une pondération de risque de 150 %.

« Par dérogation à l'article 325 bis du règlement (UE) n° 575/2013 susvisé, et sous réserve que les expositions de change ne dépassent pas 5 % du total des actifs pondérés par le risque calculé pour chaque fin de trimestre, les exigences de fonds propres pour risque de marché pour toutes les activités du portefeuille hors négociation de la Caisse des dépôts et consignations qui sont exposées au risque de change peuvent être calculées en ayant recours à l'approche standard simplifiée mentionnée au point c du paragraphe 1 de l'article 325 dudit règlement. »

Article 18 JORFARTI000052180340

L'article 187 est ainsi modifié :

1° Au premier alinéa, les mots : « et 493.3 » sont supprimés ;

2° L'article est complété par un alinéa ainsi rédigé :

« Pour le calcul de la valeur d'exposition mentionnée au paragraphe 1 de l'article 395 du règlement (UE) n° 575/2013 susvisé, sont exemptées à hauteur de 100 % moins les pondérations applicables aux paragraphes 4 et 5 de l'article 129 dudit règlement, les obligations garanties répondant aux conditions énoncées aux paragraphes 1,3 et 6 du même article 129. »

Article 19 JORFARTI000052180341

A l'article 188, les mots : « Article 501 » sont remplacés par les mots : « Articles 469 bis, 495 ter à 495 octies, 501 à 501 ter, 501 quinquies ».

Article 20 JORFARTI000052180342

Après l'article 189, est ajouté un article 189-1 ainsi rédigé :

« Art. 189-1. - Sont rendues applicables à la Caisse des dépôts et consignations, les dispositions suivantes de la partie VII bis intitulée : ‘‘Exigences de déclaration'' du règlement (UE) n° 575/2013 susvisé : point a à l'exception des exigences relatives au ratio de levier, points c et d du paragraphe 1 de l'article 430. »

Article 21 JORFARTI000052180346

L'article 196 est ainsi modifié :

1° A la première phrase du a du 3°, après les mots : « vigueur à une », est inséré le mot : « date » ;

2° L'article est complété par deux alinéas ainsi rédigés :

« 4° A compter du 1er janvier 2026, les dispositions du règlement (UE) n° 575/2013 susvisé sont celles issues de sa version modifiée à la date du 1er janvier 2025 ;

« 5° Les dispositions du règlement (UE) n° 2022/2554 mentionné ci-dessus sont celles issues de sa version à la date de publication du décret n° 2025-876 du 1er septembre 2025 ».

Article 22 JORFARTI000052180347

Le I de l'article 199 est complété par les mots : « dans sa rédaction résultant du décret n° 2025-876 du 1er septembre 2025 ».

Article 23 JORFARTI000052180348

Les articles 2 à 8, 10 à 21 entrent en vigueur le 1er janvier 2026.

Article 24 JORFARTI000052180349

Le ministre d'État, ministre des outre-mer, et le ministre de l'économie, des finances et de la souveraineté industrielle et numérique sont chargés, chacun en ce qui le concerne, de l'exécution du présent décret, qui sera publié au Journal officiel de la République française.