Décret n° 2025-876 du 1er septembre 2025 modifiant le décret n° 2020-94 du 5 février 2020 relatif au contrôle interne et externe de la Caisse des dépôts et consignations

Publics concernés : Caisse des dépôts et consignations, Autorité de contrôle prudentiel et de résolution.
Objet : le décret est articulé autour de trois axes : la détermination, en tenant compte des adaptations nécessaires, des conditions d'application à la Caisse des dépôts et consignations du règlement (UE) n° 2024/1623 modifiant le règlement (UE) n° 575/2013 en ce qui concerne les exigences pour risque de crédit, risque d'ajustement de l'évaluation de crédit, risque opérationnel et risque de marché et le plancher de fonds propres (CRR3) ; la détermination, en tenant compte des adaptations nécessaires, des conditions d'application du règlement (UE) n° 2022/2254 sur la résilience opérationnelle numérique du secteur financier (DORA) ; une révision des dispositions applicables à la Caisse des dépôts et consignations en matière de politique de rémunération.
Entrée en vigueur : le présent décret entre en vigueur le lendemain de sa publication. Néanmoins, les dispositions relatives aux règlements CRR3et DORA sont applicables à la Caisse des dépôts et consignations à compter du 1^er janvier 2026.
Application : le décret est pris en application de l'article L. 518-15-1 du code monétaire et financier et de l'article 112 de la loi n° 2019-486 du 22 mai 2019 relative à la croissance et la transformation des entreprises (« Pacte »).

Le Premier ministre,
Sur le rapport du ministre de l'économie, des finances et de la souveraineté industrielle et numérique,
Vu le règlement modifié (UE) n° 575/2013 du Parlement européen et du Conseil du 26 juin 2013 concernant les exigences prudentielles applicables aux établissements de crédit et aux entreprises d'investissement et modifiant le règlement (UE) n° 648/2012 ;
Vu le règlement (UE) n° 2024/1623 modifiant le règlement (UE) n° 575/2013 en ce qui concerne les exigences pour risque de crédit, risque d'ajustement de l'évaluation de crédit, risque opérationnel et risque de marché et le plancher de fonds propres ;
Vu le règlement (UE) n° 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011 ;
Vu le code monétaire et financier, notamment son article L. 518-15-1 ;
Vu le décret n° 2020-94 du 5 février 2020 relatif au contrôle interne et externe de la Caisse des dépôts et consignations ;
Vu l'avis de la commission de surveillance de la Caisse des dépôts et consignations en date du 16 avril 2025 ;
Le Conseil d'Etat (section des finances) entendu,
Décrète :

Le décret n° 2020-94 du 5 février 2020 susvisé est modifié conformément aux articles 2 à 23 du présent décret.

Au 4° de l'article 4, après les mots : « maîtrise des risques », sont insérés les mots : «, y compris ceux liés aux technologies de l'information et de la communication ».

L'article 8 est ainsi modifié :
1° Le 7° et le 8° sont remplacés par un 7° ainsi rédigé :
« 7° Risque opérationnel : conformément au point 52 du paragraphe 1 de l'article 4 du règlement (UE) n° 575/2013 susvisé, le risque de perte découlant d'une inadéquation ou d'une défaillance des processus, du personnel et des systèmes internes ou d'événements extérieurs, y compris, mais sans s'y limiter, le risque juridique, le risque de modèle ou le risque lié aux technologies de l'information et de la communication (TIC), à l'exclusion toutefois du risque stratégique et pour la réputation ; »
2° Au 13° :
a) Après les mots : « administrative ou disciplinaire, », est inséré le mot : « ou » ;
b) Les mots : « ou d'atteinte à la réputation » sont supprimés ;
3° Le 25° est supprimé ;
4° L'article est complété par trois alinéas ainsi rédigés :
« 34° Risque lié aux technologies de l'information et de la communication : circonstance telle que définie au point 5 de l'article 3 du règlement (UE) n° 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011 ;
« 35° Sécurité des réseaux et des systèmes d'information : la sécurité des réseaux et systèmes d'information telle que définie au point 4 de l'article 3 du règlement (UE) n° 2022/2554 mentionné ci-dessus ;
« 36° Services TIC : les services numériques et de données fournis de manière permanente par l'intermédiaire des systèmes de technologies de l'information et de la communication à un ou plusieurs utilisateurs internes ou externes, dans les conditions prévues au point 21 de l'article 3 du règlement (UE) n° 2022/2554 mentionné ci-dessus. »

Le premier alinéa de l'article 39 est complété par une phrase ainsi rédigée : « Au moins une fois par an, il lui rend compte des constatations visées au paragraphe 3 de l'article 13 du règlement (UE) n° 2022/2554 du Parlement européen et du conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011 et formule des recommandations. »

Au premier alinéa de l'article 53, après les mots : « le risque opérationnel », sont ajoutés les mots : « dont les risques liés aux technologies de l'information et de la communication ».

A l'article 54, après les mots : « le risque opérationnel », sont ajoutés les mots : « dont les risques liés aux technologies de l'information et de la communication ».

L'article 60 est ainsi modifié :
1° Au premier alinéa, les mots : « et la...