L’Esma étrenne avec clémence son pouvoir de sanction à l’encontre de S&P

Il est 15h57, heure de Paris, en ce jeudi 10 novembre 2011, quand les abonnés au service Global Credit Portal de Standard & Poor’s reçoivent un courrier électronique au titre explosif en pleine crise de la dette en zone euro : «France (Republic of) (Unsolicited Ratings): Downgrade». En clair, l’agence de notation vient de priver la France de son précieux AAA.

Sauf que cette note ne sera effectivement modifiée (à AA+) que deux mois plus tard, le 13 janvier 2012. Le courriel du 10 novembre, d’ailleurs dépourvu de corps de texte, a été envoyé par erreur.

Deux ans et demi après les faits, l’Autorité européenne des marchés financiers, l’Esma, a publié hier son jugement quant à la gaffe de l’agence. Cette dernière écope d’un blâme rendu public mais échappe à toute sanction pécuniaire ou suspension d’activité. Clémente, l’autorité reconnaît en effet dans le cadre de cette toute première sanction infligée à une agence de notation (depuis sa création en 2011) les efforts déployés depuis par S&P pour éviter un nouvel incident, et juge que la fautive n’a pas agi en novembre 2011 intentionnellement ou par négligence. S&P a salué le jugement, dont elle ne fera pas appel.

De fait, l’Esma retire de sa plongée au cœur des systèmes de S&P que l’agence n’a pas respecté certains engagements réglementaires, liés particulièrement au contrôle interne ou à la diffusion d’information. Le régulateur est allé chercher la source du cafouillage dans l’organisation d’une base de données de S&P mêlant notes de crédit souveraines et évaluations du risque relatif des secteurs bancaires nationaux (le score «Bicra», Banking industry country risk assessment). Or, la France a subi le 14 octobre 2011, trois semaines donc avant le 10 novembre, un passage du groupe 1 (le plus fort) au groupe 2 (sur 10) dans le cadre de ce classement. L’Esma relève qu’une «séries d’erreurs», et non une faute isolée, ont conduit à la communication erronée du 10 novembre, dans le cadre d’une mise à jour de la base de données pour laquelle le personnel concerné était «insuffisamment informé» du fait de défaillances dans la supervision et la définition des responsabilités.

L’Esma souligne en outre qu’au moment de l’incident, S&P ne disposait pas de service d’audit dédié aux systèmes d’information et qu’aucun des systèmes concernés par la bévue n’avait fait l’objet d’un audit en 2010 ou en 2011.