La base incidents également dénommée base de pertes internes est l'un des éléments essentiels de tout dispositif de gestion des risques opérationnels et de contrôle interne. Elle permet de centraliser et d'agréger les informations relatives aux cas avérés d'incidents vécus par l'entreprise. Elle permet de disposer d'une vision historique des risques et doit le plus souvent être complétée d'une vision prospective du risque à l'aide notamment d'analyses de scénarios et/ou de cartographie des risques (s'appuyant sur des risques potentiels).
La base incidents doit être alimentée par les opérationnels-métiers et doit dans la mesure du possible être déployée le plus finement possible dans l'organisation. Afin de contourner cette difficulté les établissements définissent le plus souvent un seuil de collecte (exemple : 10 K€) assurant ainsi l'exhaustivité de la collecte et un meilleur contrôle de la fiabilité des données remontées. L'animation de la filière "risques opérationnels" doit assurer l'alimentation régulière de cette base.
> Partant d'une simple collecte des pertes, les établissements ont progressivement mis en place des outils de gestion des incidents. L'objectif n'étant plus de collecter mais bien d'identifier et de gérer le plus tôt possible les incidents afin d'éviter l'effet boule de neige propre aux risques opérationnels. Les outils de place ont donc très vite intégrés la notion de "push mail" et d'alertes afin que la base incidents soit également un vecteur de communication dans la gestion du risque.
Chaque incident est alors caractérisé à l'aide d'une fiche dédiée. cette fiche permet de suivre la vie de l'incident avec :
- ces différentes dates (date de survenance, date de découverte, date de clôture...),
- ces caractéristiques au regard du référentiel risque de l'établissement et de l'activité ou du processus concernés (liés eux même aux nomenclatures réglementaires),
- la description précise de la chronologie de l'incident,
- la nature et l'évaluation des impacts financiers et d'image,
Les incidents font également l'objet d'actions de résolution immédiate et/ou de plans d'actions plus structurés nécessitant un suivi spécifique. A ce titre, le module "base incidents" est souvent relié au module "plan d'actions" dans les différents outils disponibles.
Les incidents ainsi collectés sont directement pris en compte dans les modèles internes de calcul des fonds propres lorsque des méthodologies avancées sont retenues. Combinée à d'autres éléments du dispositif à l'aide de modélisations par des approches de type LDA (loss distribution approach), elle permet notamment d'obtenir une distribution des pertes sur des axes fréquence / sévérité et d'observer les incidents dit "de fréquence" et les incidents dits "rares mais à fort impacts".