Contrôles de risque pour les stratégies automatisées

Construisez votre carte ci-dessus avant de poursuivre la lecture : définissez les quatre limites strictes, puis choisissez la permission de la clé API et observez ce qui se passe lorsque vous demandez l'accès au retrait. Un bot de trading est rapide, infatigable et totalement dépourvu de jugement. Cela ne pose aucun problème tant que le marché se comporte normalement, et devient catastrophique quand ce n'est pas le cas, car un bot exécutera son pire comportement à pleine vitesse, sans jamais s'arrêter pour se demander si quelque chose a mal tourné. Tout ce que vous avez appris dans les modules précédents converge ici : aucune stratégie automatisée ne devrait toucher à du capital réel tant que des limites strictes et prédéfinies ne se dressent pas entre la machine et votre argent. Ces contrôles ne sont pas une finition que l'on ajoute plus tard. Ils sont le prix d'entrée, décidé à l'avance sous forme de chiffres froids, et non ressenti sur le moment pendant que le compte saigne.

Quatre limites à fixer avant de passer en réel

Considérez ces quatre limites comme la ceinture de sécurité, et bouclez-les toutes avant le premier trade réel. Chacune est un chiffre strict que vous décidez à l'avance et que le système applique automatiquement.

• Perte quotidienne maximale (le kill switch). Suspendre toute négociation dès que le compte chute d'un montant défini au cours d'une journée, disons 3 %. Une mauvaise session ne peut alors plus dégénérer en catastrophe.
• Taille maximale par trade. Plafonner le risque ou la taille qu'une seule position peut représenter, afin qu'un ordre unique ne puisse jamais faire sauter tout le compte.
• Plafond d'allocation totale. Limiter la part de votre capital exposée à la stratégie à un instant donné, en mettant le reste à l'abri d'un bot qui dérape.
• Seuil de pause sur drawdown. Arrêter automatiquement la stratégie et exiger un examen humain après une chute du sommet au creux d'une ampleur définie, afin qu'une hémorragie lente ne puisse pas se poursuivre sans surveillance.

Le point commun est que chacune de ces limites est un chiffre strict choisi à l'avance, et non une décision improvisée en regardant défiler des chiffres rouges. La panique est un mauvais gestionnaire de risque. Une limite prédéfinie, elle, reste calme.

Verrouillez la clé API

Lorsque vous connectez un bot à une plateforme d'échange, vous le faites via une clé API, et les permissions de cette clé déterminent l'ampleur des dégâts qu'une fuite ou un bot défaillant peut causer. C'est le contrôle le plus déterminant dont vous disposez, car il plafonne votre pire scénario même si toutes les autres protections échouent.

Les clés comportent généralement trois niveaux de permission distincts, et l'écart entre eux est celui qui sépare un désagrément d'une catastrophe :

• Lecture seule. L'outil peut consulter mais pas trader. À utiliser partout où un bot n'a besoin que d'observer.
• Trading activé. Le bot peut passer des ordres. N'accordez cette permission qu'à ce qui en a réellement besoin.
• Retrait activé. La clé peut sortir des fonds de la plateforme. Un bot de trading n'a jamais aucune raison de le faire.

La règle unique la plus importante : n'activez jamais la permission de retrait sur une clé de trading. Les retraits désactivés, même une clé entièrement compromise ne peut pas vider vos fonds, elle peut seulement les trader. Deux habitudes supplémentaires rendent la clé encore plus sûre : ajoutez une liste blanche d'adresses IP afin que la clé ne fonctionne qu'à partir de vos adresses connues, et créez une clé distincte par outil afin de pouvoir en révoquer une sans perturber les autres.

Surveillez le bot pendant qu'il fonctionne

« Configurer et oublier » se transforme discrètement en « configurer et regretter ». L'automatisation supprime les clics manuels, pas la responsabilité, si bien qu'une stratégie en production a toujours besoin d'être surveillée.

Gardez un œil sur une poignée d'éléments : ses capitaux propres et son drawdown par rapport à ce que votre backtesting et votre forward testing vous laissaient attendre, sa fréquence de trading, son gain moyen et sa perte moyenne, ainsi que la corrélation entre ses positions ouvertes. Enregistrez chaque action effectuée par le bot afin de pouvoir reconstituer ce qui s'est passé après coup. Et configurez des alertes qui vous préviennent dès qu'une limite est franchie, plutôt que de compter sur vous-même pour penser à vérifier.

Les signaux d'alarme qui disent d'arrêter maintenant

Certains changements dans le comportement d'un bot ne sont pas du bruit à laisser passer, ce sont des signaux qui appellent une pause et un examen. Apprenez à les reconnaître et vous détecterez les problèmes tôt, au lieu d'avoir à les expliquer après coup.

• Drawdown supérieur à ce que vos tests prévoyaient. Le marché a peut-être évolué, ou l'avantage s'est peut-être érodé.
• Une soudaine salve d'ordres. Une fréquence de trading inhabituelle signale souvent un bug qui boucle, ce qui doit arrêter le bot sur-le-champ.
• Une rupture de corrélation. Des positions que vous pensiez indépendantes se mettent à évoluer ensemble, ce qui signifie que votre risque réel est bien plus élevé que ne le laisse penser le nombre de vos positions.
• Un slippage ou des coûts supérieurs à vos hypothèses. Ils érodent discrètement l'avantage, trade après trade.
• La stratégie qui négocie dans des conditions pour lesquelles elle n'a jamais été conçue. C'est l'avertissement sur les cygnes noirs évoqué dans le module précédent.

Lorsque l'un de ces signaux apparaît, la bonne réaction est de mettre en pause et d'examiner la situation, jamais de laisser filer en espérant que cela se corrige tout seul.

Contrôle rapide des connaissances

Quelles sont les quatre limites non négociables à fixer avant la mise en production d'une stratégie automatisée ? Une perte quotidienne maximale (kill switch), une taille maximale par trade, un plafond d'allocation totale, et un seuil de pause sur drawdown, chacun étant un chiffre strict décidé à l'avance et appliqué automatiquement.

Pourquoi une clé API de trading ne devrait-elle jamais avoir la permission de retrait activée ? Un bot de trading n'a aucune raison de déplacer des fonds ; désactiver les retraits signifie donc que même une clé entièrement compromise ne peut que trader vos fonds, pas les voler en les sortant de la plateforme. Cela plafonne votre pire scénario.

Un bot en fonctionnement se met soudainement à passer beaucoup plus d'ordres que d'habitude. Que faites-vous, et pourquoi ? Le mettre en pause immédiatement et enquêter. Une soudaine salve d'ordres signale souvent un bug qui boucle, ce qui peut infliger de lourdes pertes à la vitesse d'une machine si on le laisse tourner.

Sources

• SEC (investor.gov) & FINRA, "Investor Alert: Automated Investment Tools", sur les raisons pour lesquelles un système automatisé a toujours besoin de règles prédéfinies et d'une surveillance humaine active.
• SEC, "SEC Charges Knight Capital With Violations of Market Access Rule" (Press Release 2013-222), le cas où un déploiement automatisé défectueux a déclenché un déluge d'ordres non intentionnels et causé environ $440 millions de pertes en environ 45 minutes.
• OWASP, "Authorization Cheat Sheet", accès API selon le principe du moindre privilège : séparer les permissions de lecture, de trading et de retrait, garder les retraits désactivés, et restreindre les clés par liste blanche d'adresses IP.