Guide sur la continuité des activités bancaires

Un paiement non exécuté, un canal numérique indisponible ou l’impossibilité d’accéder à des données fiables peuvent avoir des répercussions immédiates sur les clients, la trésorerie, la réputation et la surveillance. Un guide sur la continuité des activités bancaires doit donc partir d’un constat concret : dans le secteur financier, la continuité ne se résume pas au rétablissement des systèmes informatiques. Il s’agit de la capacité de l’établissement à maintenir les services bancaires critiques dans des limites acceptables, même lorsque le personnel, les sites, les technologies, les fournisseurs ou les informations sont compromis.

Cette question a pris encore plus d’importance avec la mise en œuvre du règlement DORA. L’attention réglementaire ne porte pas uniquement sur l’existence de plans documentés, mais sur la capacité démontrable à maîtriser les risques liés aux technologies de l’information et de la communication (TIC), à gérer les incidents, à tester la résilience opérationnelle numérique et à contrôler les dépendances vis-à-vis de tiers. Pour les banques, les intermédiaires financiers et les opérateurs de paiement, le programme de continuité doit donc traduire les exigences réglementaires et les attentes des autorités de surveillance en capacités opérationnelles vérifiables.

Continuité opérationnelle bancaire : le périmètre approprié

Réduire la continuité des activités à la reprise après sinistre technologique est une erreur courante. La reprise après sinistre est essentielle, mais elle concerne principalement la restauration des infrastructures, des applications et des données. La continuité des activités s’étend à un périmètre plus large : processus, personnes, sites, chaînes décisionnelles, communications, fournisseurs, obligations contractuelles et relations avec les autorités.

Dans le secteur bancaire, les services critiques ne sont pas définis uniquement par l’importance interne d’une application. Il convient d’en évaluer l’impact sur les clients et le marché. Entrent généralement dans ce périmètre les paiements et les encaissements, l’accès aux comptes, les opérations de trésorerie, les canaux numériques, la gestion des cartes, les systèmes de lutte contre le blanchiment d’argent, les rapports réglementaires, les processus de crédit et la gestion de la communication en cas de crise. Cette liste varie toutefois en fonction du modèle opérationnel, de l’importance des services externalisés et du rôle de l’intermédiaire au sein de l’écosystème financier.

La question pertinente n’est pas seulement « quel système doit être remis en service en premier ? », mais « quel service doit rester accessible, pour qui et avec quel niveau minimal de performance ? ». Cette démarche impose de relier l’analyse technique aux conséquences opérationnelles, financières, juridiques et en matière de réputation.

De la gouvernance aux objectifs de réhabilitation

Un programme efficace nécessite une gouvernance qui attribue des responsabilités claires. Le conseil d’administration et la direction générale définissent la propension au risque, les priorités et le niveau de supervision. Les fonctions opérationnelles identifient les activités essentielles et les modes alternatifs de prestation. Les services informatiques, de sécurité informatique, de gestion des risques, de conformité, des opérations, des ressources humaines, du service juridique et de la communication contribuent à la conception et à la mise en œuvre.

Le point essentiel est d’éviter que le plan ne reste confiné à une seule fonction. Si un incident cybernétique bloque les canaux d’authentification, par exemple, la réponse implique les services informatiques, la lutte contre la fraude, le service client, la communication externe, la gestion des fournisseurs et, dans certaines circonstances, les échanges avec les autorités. La continuité opérationnelle bancaire est donc une discipline de coordination décisionnelle, et non un ensemble de procédures isolées.

L’analyse d’impact sur l’activité doit identifier les services prioritaires, les activités nécessaires à leur fourniture, les dépendances et les conséquences d’une interruption dans le temps. Il en découle des paramètres cohérents : la durée maximale tolérable d’interruption (Maximum Tolerable Period of Disruption), l’objectif de temps de reprise (Recovery Time Objective) et l’objectif de point de reprise (Recovery Point Objective). Il ne suffit pas d’attribuer un RTO théorique à chaque application. L’objectif de reprise doit être compatible avec la tolérance à l’interruption du service et avec les capacités réelles de rétablissement des infrastructures, des données, du personnel et des fournisseurs.

Un RTO de deux heures, par exemple, n’a aucune valeur si la procédure nécessite l’intervention manuelle d’un tiers injoignable, si les identifiants d’urgence ne sont pas disponibles ou si l’environnement de secours ne contient pas de données suffisamment à jour. La qualité du programme résulte de la cohérence entre les exigences, l’architecture, les processus et les essais sur le terrain.

Les scénarios à concevoir, et non pas simplement à énumérer

La planification par scénarios doit aller au-delà de l’hypothèse d’une panne du centre de données. Des interruptions majeures peuvent résulter d’une attaque par rançongiciel, d’une indisponibilité du cloud, d’une compromission d’un opérateur de télécommunications, d’une erreur de déploiement, d’une perte de connectivité, d’une fraude interne, de l’indisponibilité d’un site, d’événements météorologiques extrêmes ou de l’absence simultanée de personnes clés.

Chaque scénario ne nécessite pas nécessairement un plan spécifique. Il est plus efficace d’élaborer des stratégies fondées sur les conséquences : perte d’un site, perte de technologie, indisponibilité du personnel, indisponibilité de données fiables, blocage d’un fournisseur essentiel. Cette approche réduit la prolifération des documents et rend les instructions plus faciles à mettre en œuvre lors d’une crise réelle.

Les incidents de cybersécurité méritent une attention particulière. Dans ce cas, une remise en service rapide peut s’avérer plus dangereuse que d’attendre : un environnement restauré sans vérification adéquate peut réintroduire l’élément malveillant ou compromettre les éléments de preuve nécessaires à l’enquête. La priorité consiste alors à trouver un équilibre entre la continuité du service, la limitation des dégâts, l’intégrité des données, les obligations de notification et les décisions d’ordre judiciaire. Il n’existe pas de procédure universelle : tout dépend de la nature de l’attaque, du degré de compromission et du caractère critique des services concernés.

Tiers et concentration des risques

La transformation numérique a accru la dépendance vis-à-vis des prestataires de services TIC, des fournisseurs de services cloud, des systèmes de paiement, des sous-traitants et des partenaires spécialisés. Une banque peut disposer de plans internes bien rodés tout en restant exposée à l’indisponibilité d’un seul fournisseur essentiel.

Le contrôle ne se limite pas à la due diligence initiale ni aux clauses contractuelles. Il convient de tenir à jour une cartographie des dépendances, de comprendre les chaînes de sous-traitance pertinentes, d’évaluer les points de concentration et de vérifier que les accords définissent les niveaux de service, les obligations d’information, les droits d’audit, l’assistance aux tests et les conditions de résiliation. De plus, la substituabilité d’un prestataire doit être évaluée avec réalisme : la migration d’un service essentiel en pleine crise est rarement une option immédiate.

Pour les services les plus importants, il est nécessaire de mettre en place des stratégies alternatives crédibles. Celles-ci peuvent inclure une redondance technique, des capacités manuelles temporaires, des accords avec d’autres fournisseurs ou des priorités contractuelles en matière de rétablissement. Ce choix implique des coûts et une certaine complexité. Toutes les dépendances ne nécessitent pas une duplication complète, mais chaque dépendance critique doit faire l’objet d’une réponse proportionnée à son importance.

Évaluer la continuité opérationnelle bancaire en tant que capacité décisionnelle

Un plan qui n’a pas été testé n’est qu’une hypothèse. Les tests doivent permettre de vérifier non seulement qu’un système redémarre, mais aussi que l’organisation prend des décisions en temps opportun, échange des informations fiables et maintient le service au niveau convenu.

Les exercices sur table sont utiles pour valider les rôles, les procédures d’escalade et les critères décisionnels. Les simulations opérationnelles permettent de vérifier l’exécution des procédures par les unités concernées. Les tests techniques, notamment les tests de basculement, de restauration et de reprise dans des environnements isolés, fournissent des indications sur le comportement réel des plateformes. Les essais menés en collaboration avec des fournisseurs stratégiques sont souvent les plus complexes, mais aussi les plus représentatifs du risque réel.

Un programme de test abouti ne vise pas la perfection formelle. Il recherche les écarts entre ce qui est prévu et ce qui se produit réellement : coordonnées obsolètes, autorisations manquantes, dépendances inconnues, délais de récupération supérieurs aux prévisions, instructions ambiguës, rapports indisponibles ou procédures manuelles impossibles à maintenir pendant plus de quelques heures.

À l’issue de chaque exercice, les résultats devraient déboucher sur des mesures correctives, accompagnées d’un responsable, d’une priorité, d’une date limite et d’un suivi de clôture. Les éléments les plus utiles à conserver sont notamment :

• le contexte, les objectifs et les critères de réussite de l’épreuve ;
• les participants, les décisions prises et les délais constatés ;
• résultats techniques et opérationnels par rapport aux seuils définis ;
• anomalies, mesures correctives et état d’avancement ;
• approbations de la direction et réexamen de la gouvernance.

Cette traçabilité est essentielle tant pour l’amélioration interne que pour démontrer aux services de contrôle et aux autorités de surveillance que la résilience est gérée comme une capacité permanente.

Les personnes, la communication et la gestion de crise

Dans les premières heures d’une interruption, le facteur limitant est rarement le document lui-même. Ce sont la disponibilité d’informations fiables, la clarté de la chaîne décisionnelle et la capacité à communiquer sans aggraver la situation. La gestion de crise doit définir qui déclare la crise, qui dirige le comité, qui autorise les communications à l’intention des clients et des contreparties, et comment les flux d’informations avec les autorités compétentes sont assurés.

La communication doit être rapide, précise et proportionnée. Promettre des délais de rétablissement non vérifiés peut aggraver l’atteinte à la réputation ; attendre trop longtemps peut alimenter l’incertitude et entraîner des comportements incontrôlés de la part de la clientèle. Il faut disposer de messages pré-rédigés, mais surtout d’un processus permettant de les mettre à jour avec des données validées.

La préparation du personnel nécessite une formation spécifique à chaque fonction, complétée par des exercices périodiques. Un responsable de processus doit connaître les priorités opérationnelles et les procédures de continuité applicables. Un membre de l’équipe de crise doit être capable d’évaluer des informations incomplètes et de consigner les décisions. Le personnel de première ligne doit savoir identifier les consignes à transmettre aux clients. Les compétences individuelles permettent de mettre le plan en œuvre lorsque la pression s’intensifie.

La continuité des activités ne se démontre pas par un manuel rangé dans un tiroir, mais par la capacité à préserver les décisions, les données et les services lorsque les conditions habituelles ne sont plus réunies. Pour un établissement financier, investir dans cette capacité revient à transformer une obligation de contrôle en un véritable gage de confiance.

This post is also available in: