Rédaction WEB : JUST DEEP CONTENT

,Le risque cyber est clairement devenu un objet d’attention pour les régulateurs européens ces dernières années. Plusieurs textes des Autorités Européennes de Supervision (AES) ont vu le jour, comme les orientations de l’EBA sur la gestion des risques liés aux TIC (EBA/GL/2019/04), ou les recommandations de l’EIOPA relatives à la sécurité et à la gouvernance des TIC (EIOPA-BoS-20/600).

Dans ce contexte le règlement DORA sur la résilience opérationnelle numérique, qui entre en application le 17 janvier 2025, ne semble pas encore susciter de mobilisation massive dans les rangs des acteurs de la cybersécurité de l’industrie financière.

Nombreuses sont les institutions financières qui ont fortement renforcé leurs investissements dans la sécurité des systèmes d’informations, au cours de la dernière décennie et pourraient donc estimer qu’elles sont d’ores et déjà, dans une large mesure, conformes à DORA.

Cependant la montée en puissance du risque cyber s’illustre par de nombreux cas. Ainsi l’affaire Solarwinds révélée en décembre 2020 et considérée comme la pire cyberattaque ayant visé le gouvernement des Etats-Unis, nous rappelle à quel point cette menace est à prendre au sérieux.

Depuis la crise financière de 2008, les régulateurs européens ont dû mettre en œuvre un arsenal de mesures, pour protéger la solvabilité des institutions financières et assurer la stabilité du système financier face à des risques de nature systémique.

DORA est en fait le volet dédié aux risques numériques de cette réglementation prudentielle.

Il repose sur deux postulats :

• Aucune entreprise n’est à l’abri d’une cyberattaque réussie. Il est donc impératif de renforcer la réponse aux crises,
• Des attaquants peuvent infiltrer une entreprise par le biais de n’importe quelle composante de son écosystème. Il est donc crucial de sécuriser toute la chaîne d’approvisionnement en services numériques.

Il s’agit donc d’une réglementation ambitieuse, qui va révolutionner la gouvernance et le processus de décision liés aux risques numérique de nombre d’institutions financières.

Quels sont les impacts de ce règlement sur la gouvernance des TIC et comment impulser une culture du risque permettant de favoriser l’amélioration progressive des dispositifs de prévention, de protection et de réponse au risque cyber ?

SOMMAIRE

• L’implication des dirigeants et du Conseil d’Administration
• Une organisation selon 3 lignes de défense
• La définition du niveau d’appétence au risque
• L’appréciation des risques comme fondement du renforcement des dispositifs de résilience opérationnelle numérique
• Un parti pris de transparence en vue d’optimiser le retour sur investissement dans la maîtrise des risques

L’implication des dirigeants et du Conseil d’Administration

Contrairement aux orientations EIOPA ou EBA, dont le pouvoir normatif est limité dans la mesure où elles relèvent de la soft law, DORA  est un règlement, qui s’applique directement, sans transposition nationale, à toutes les institutions financières européennes.

Les institutions financières devront donc démontrer qu’elles respectent ce règlement. Cela signifie notamment qu’il leur faudra revoir leurs politiques et procédures liées à la résilience opérationnelle numérique, pour s’assurer qu’elles sont bien alignées avec les exigences de DORA et mettre en œuvre les contrôles permettant de le démontrer.

D’autre part, si la lutte contre le risque cyber est un enjeu majeur, elle exige l’implication des dirigeants au plus haut niveau. Le Conseil d’Administration doit s’assurer que l’allocation de moyens à la sécurité et la résilience numérique est proportionnée par rapport au risque. En cas d’attaque cyber réussie, la responsabilité des dirigeants peut être engagée.

Pour comprendre la menace numérique et le profil de risque de l’organisation compte-tenu de la nature de ses activités, les dirigeants doivent être régulièrement formés aux enjeux de la résilience opérationnelle numérique.

Pour développer la connaissance du risque numérique, de la part des institutions financières DORA encourage également un partage d’information sur les incidents et les menaces à l’échelle de l’industrie financière. Les AES vont définir les modalités  de ce partage d’informations dans le cadre de normes techniques réglementaires à paraître.

En complément de l’analyse de la menace cyber, le Conseil d’Administration doit comprendre le niveau de maturité des dispositifs de maîtrise des risques numériques mis en œuvre au sein de l’organisation.

Sommes-nous prêts à contrer une cyberattaque qui viserait l’entreprise au niveau global ?

Avons-nous une vision claire de notre dépendance par rapport à nos systèmes d’information ?

Avons-nous identifié nos applications critiques ou importantes ? Les moyens alloués à la protection de ces applications à notre niveau, ou au niveau de nos prestataires de services numériques, sont-ils suffisants ?

Telles sont les questions qui doivent être soulevées dans la comitologie et remontées au Conseil d’Administration.

L’engagement du Conseil d’Administration passe aussi par la validation des principales politiques qui encadrent les dispositifs de maîtrise des risques numériques, à savoir :

• La politique générale de sécurité de l’information,
• La politique de gestion des risques numériques,
• La politique de gestion des incidents liés aux TIC,
• La politique de continuité d’activité informatique,
• La politique d’utilisation des services liés aux TIC qui soutiennent des fonctions critiques ou importantes.

Ces politiques générales doivent être complétées de politiques de sécurité et de résilience numérique spécifiques et des procédures associées. Elles constituent un socle d’exigences, que l’entreprise doit s’engager à respecter au travers d’un dispositif de contrôle efficace.

Une organisation selon 3 lignes de défense

En réponse à un risque cyber considéré comme systémique, DORA définit une organisation selon trois lignes de défense. Ce modèle d’inspiration militaire, s’est imposé au sein des grands établissements financiers, suite à la crise financière de 2008.

Figure 1 : le modèle des 3 lignes de défense

Source Hélène Dufour pour l’ESBanque

La première ligne est constituée des directions opérationnelles (dont la DSI), qui sont propriétaires des risques numériques et assurent les contrôles de premier niveau. Les propriétaires des risques sont en effet les départements qui en subissent les conséquences et qui vont donc devoir faire des choix en matière de traitement des risques (acceptation, refus, réduction ou partage du risque selon la norme ISO/IEC 27005).

Parmi les contrôles de premier niveau, on peut citer la revue des habilitations aux applications informatiques, mais aussi les contrôles relatifs au fonctionnement des processus IT tels que, la gestion des configurations et des changements ou le contrôle de conformité des prestataires par rapport notamment aux exigences de sécurité liées aux applications critiques.

La seconde ligne de défense est incarnée par la nomination d’une fonction indépendante de gestion des risques liés aux TIC, qui va superviser la réalisation des contrôles de second niveau.  Le rattachement hiérarchique de cette fonction peut varier selon les organisations (Direction des Risques ou DSI par exemple), mais elle doit avoir un accès direct au Conseil d’Administration, qu’elle doit éclairer sur les risques.

Enfin, la troisième ligne de défense est assurée par l’audit, qui met en œuvre le contrôle périodique.

La fonction Gestion des Risques Numériques détermine le niveau de tolérance de l’entité par rapport aux risques liés aux TIC et définit les stratégies et les politiques permettant de ne pas le dépasser. Elle s’assure également de la bonne exécution des contrôles réalisés par les premières lignes de défense.

Le déploiement du dispositif de contrôle doit s’appuyer sur une approche basée sur les risques, afin d’être en mesure de prioriser le renforcement des dispositifs de maîtrise des risques, en application du principe de proportionnalité.

La définition du niveau d’appétence au risque

Pour pouvoir apprécier les risques et déterminer les axes de renforcement prioritaires de la maîtrise des risques, le préalable est la définition du niveau de tolérance ou d’appétence au risque. Cette notion familière aux praticiens des risques financiers, de crédit ou assurantiels n’est pas forcément intuitive pour les équipes opérationnelles notamment celles de la DSI.

Il s’agit de caractériser la sévérité d’un risque à partir d’une matrice de vraisemblance (par exemple quasi certain, probable, possible ou éloigné) et de gravité (critique, grave, modéré, faible), qu’il convient de décliner selon différents types de conséquences (notamment les impacts financiers, réglementaires, sur les clients, et de réputation). Par exemple, il s’agit de déterminer à partir de quel seuil d’alerte, l’impact financier potentiel d’un risque est jugé grave et au-delà de quelle limite, il est considéré comme inacceptable et nécessite un renforcement de la maîtrise du risque.

Figure 2 : Exemple de matrice d’appétence au risque pour un organisme de taille intermédiaire

Source Hélène Dufour pour l’ESBanque

La matrice d’appétence au risque doit être partagée et comprise par les opérationnels lorsqu’ils mènent une évaluation des risques. Elle doit permettre de prioriser l’effort de maîtrise des risques en se concentrant sur les risques d’impact potentiel élevé.

L’appréciation des risques comme levier de décisions stratégiques

L’appréciation des risques IT et SSI est confrontée une plusieurs difficultés :

• Comprendre la nature des menaces et des dispositifs de maîtrise des risques, pour les métiers éloignés de la DSI,
• Prendre en compte les enjeux métiers, lorsqu’elle est réalisée par les équipes informatiques,
• Donner une vision consolidée du risque, compréhensible par toutes les parties prenantes et notamment la direction et utilisable comme levier de décision.

Rappelons qu’avant l’émergence des initiatives réglementaires visant à imposer une prise en compte spécifique du risque cyber par les institutions financières, celui-ci était intégré aux risques opérationnels. Son évaluation était donc réalisée de manière qualitative et souvent faiblement challengée par les instances de direction. Par ailleurs, les résultats des cartographies des risques IT et SSI étaient souvent fournis à un niveau de détail beaucoup trop fin pour offrir une vue d’ensemble réellement opérante des priorités d’optimisation de la maîtrise des risques.

DORA impose l’adoption d’une approche méthodique de l’appréciation des risques, réellement orientée sur la prise de décision au plus haut niveau de l’organisation.

Dans ce cadre, il n’est pas inutile de rappeler que le but de l’appréciation des risques est de déterminer si les dispositifs de prévention de protection et de réponse à incidents sont correctement dimensionnés et suffisants pour protéger l’entreprise efficacement contre les menaces. Dans cette réflexion, et tout particulièrement pour les risques cyber dont le traitement requiert des moyens de plus en plus importants, se pose toujours la question de l’optimisation de cette allocation de moyen par rapport au risque.

Pour ce faire, l’identification des menaces numériques et des vulnérabilités qu’elles peuvent exploiter à l’échelle de l’entreprise, va permettre de tester la robustesse des dispositifs de maîtrise des risques transversaux.

Appréciation des risques au niveau global

Pour réaliser cette analyse, une entité peut procéder de deux manières :

• Identifier les vulnérabilités de ses dispositifs de maîtrise des risques, selon une approche par conformité (en les comparant aux bonnes pratiques à partir d’un référentiel de mesures par exemple celui de l’annexe A de la norme ISO/IEC 27001 détaillé dans la norme ISO/IEC 27002) et définir les menaces qui pourraient exploiter ces vulnérabilités,
• Identifier les menaces ou causes de risque potentielles et déterminer le niveau de maîtrise des risques en les associant aux mesures de réduction du risque adaptées et analyser les failles éventuelles de ces mesures.

La première approche doit s’appuyer sur une revue systématique des différentes mesures préconisées par le référentiel retenu (Guide d’hygiène de l’ANSSI, norme ISO/IEC 27002, CIS ou NIST par exemple) et d’une évaluation de maturité des dispositifs en place pour chaque mesure, sous forme d’une note. La moyenne des notes constitue un score, qui pourra être utilisé dans l’évaluation des risques.

La seconde approche consiste identifier les risques et à évaluer les mesures de maîtrise associées à chacun. Elle peut-être moins exhaustive que la précédente, car elle ne garantit pas que tous les risques ont été identifiés.

Dans les deux cas, l’appréciation des risques consiste à identifier les menaces les plus critiques associées aux dispositifs de maîtrise des risques en place et d’évaluer leur vraisemblance et leur gravité brutes, indépendamment de toute mesure de maîtrise (évaluation du risque inhérent), puis de prendre en compte l’efficacité des dispositifs pour évaluer leur vraisemblance et leur gravité nettes (évaluation du risque résiduel).

Figure 3 : exemples de risques à étudier

Source Hélène Dufour pour l’ESBanque

Cette démarche doit permettre de déterminer, si le niveau de maîtrise des risques de l’entreprise est satisfaisant ou non et d’identifier les plans d’action prioritaires en vue de renforcer les dispositifs de prévention, de protection ou de réponse aux risques.

La figure 4 ci-après représente les risques R1 à R9 ci-dessus, sur une matrice vraisemblance / gravité (risque brut), puis présente l’impact sur la vraisemblance et la gravité des risques, de l’application des mesures de prévention, de protection ou de réponse (risque net).

Figure 4 : Exemple de représentation du risque

Source Hélène Dufour pour l’ESBanque

Cette représentation graphique permet de visualiser la position des risques par rapport au niveau de tolérance de l’entité. Elle va permettre de déterminer le traitement du risque à retenir par l’entreprise, c’est-à-dire de définir si elle accepte le risque, ou si elle met en œuvre des mesures pour le réduire.

Il est à noter que l’appréciation des risques bruts (ou risques inhérents), définis comme les risques en l’absence de dispositifs de maîtrise des risques, est décriée, au motif qu’il est impossible d’évaluer des risques qui surviendraient sans aucun contrôle, car cela ne correspond à aucune réalité. Cette objection est judicieuse, mais l’objectif de l’évaluation du risque brut est en réalité d’apprécier la menace, indépendamment du dispositif de maîtrise des risques en place, afin justement d’éviter certains biais psychologiques, qui assimilent le risque à une défaillance. Pour rendre cette évaluation plus intuitive, on peut la remplacer par une appréciation du risque brut basé sur un dispositif de protection moyen tel qu’on pourrait le mesurer à partir de statistiques externes. L’intérêt de cette réflexion est d’étudier la menace, son intensité et son évolution, afin de fournir une première vision de l’impact du dispositif de maîtrise des risques. Elle permet d’apprécier le dispositif de maîtrise des risques en tant que facteur de réduction de leur vraisemblance ou leurs conséquences et donc d’évaluer son retour sur investissement potentiel.

Les risques nets ou résiduels d’impact modéré ou faible seront acceptés. Les risques, dont l’impact potentiel dépasse le seuil de tolérance voire la limite, devront faire l’objet d’un plan d’action.

Cette analyse doit être menée globalement, selon une approche top down afin d’éclairer l’organe de direction sur les menaces qui pèsent sur l’entreprise et sur l’adéquation des dispositifs de maîtrise des risques en place.

Appréciation des risques au niveau de chaque actif informationnel

L’appréciation des risques au niveau de l’entreprise (top-down) doit s’accompagner d’une cartographie des processus, de l’identification des fonctions dites critiques ou importantes et d’une analyse détaillée de la dépendance de chaque processus par rapport à des actifs informatiques, ou services liés aux TIC.

C’est à partir de cette analyse dite « bottom-up » qu’il va être possible d’évaluer plus précisément les impacts métiers d’un évènement transversal en fonction de son périmètre d’impact.

Il s’agit de déterminer les services qui soutiennent des fonctions critiques ou importantes, qui vont devoir faire l’objet de dispositifs de protection et de contrôle renforcés, notamment relatifs aux tiers prestataires de services de TIC.

La criticité des actifs s’apprécie selon 4 axes D-I-C-T : D – la disponibilité (l’indisponibilité de l’actif peut-elle entrainer l’interruption d’activités critiques ou importantes ?), I – l’intégrité (la perte de fiabilité des données peut-elle générer des erreurs d’exécution génératrices de pertes pour des activités critiques ou importantes ?), C – la confidentialité (des données confidentielles notamment à caractère personnel peuvent-elle être compromises ?) et enfin T – la traçabilité qui intègre l’authenticité (la perte de données peut-elle porter préjudice à l’organisation dans sa capacité à justifier de l’origine de transactions (principe de non répudiation) ou de sa conformité à ses engagements contractuels ou réglementaires ?).

Cette évaluation peut s’accompagner d’une analyse quantitative, notamment des impacts d’une interruption d’activité prolongée au niveau de chaque métier (par exemple sur une durée de 5 jours et 20 jours ouvrés qui peuvent représenter des durées génériques pour un évènement cyber majeur). Cette mesure quantitative permettra de mieux évaluer l’impact global d’un évènement cyber donné. Le règlement DORA préconise en effet l’évaluation quantitative de scénarios cyber ou d’interruption d’activité majeurs.

Elle doit permettre de mettre en œuvre, au niveau de chaque actif, des mesures de maîtrise des risques et des contrôles proportionnés par rapport au risque. Par exemple un actif critique du point de vue de la disponibilité, devra faire l’objet de mesures de redondance qui correspondent à la durée maximale d’indisponibilité acceptable.

Ces mesures seront portées par les équipes internes de la DSI, lorsque les actifs informatiques sont développés ou hébergés en interne, mais elles concernent également les tiers prestataires de service de TIC, auxquels le règlement DORA consacre une attention toute particulière. En effet le risque cyber étant considéré comme systémique, c’est toute la chaîne d’approvisionnement en technologies de l’information et de la communication qui doit être mise sous contrôle.

Appréciation des risques liés aux prestataires de TIC

L’analyse des risques liés aux tiers prestataires de service de TIC, permet d’identifier des menaces et des vulnérabilités susceptibles d’affecter les services de TIC fournis ou hébergés par ces prestataires, avec en priorité l’étude des prestataires de services qui soutiennent des fonctions critiques ou importantes.

Il s’agit d’identifier les vulnérabilités ou facteurs d’exposition au risque lié aux prestataires les plus critiques, dont notamment :

• Le risque de dépendance par rapport à un prestataire et de concentration,
• Le risque de défaillances du plan de continuité informatique du prestataire,
• Le risque de défaillance des dispositifs de sécurité du prestataire.

Ces vulnérabilités sont susceptibles de générer des pertes si les menaces suivantes se réalisent :

• Faillite ou dégradation de la qualité de service du fournisseur nécessitant l’activation du plan de réversibilité,
• Perte du Data Center du fournisseur liée à un évènement climatique par exemple,
• Cyber attaque du fournisseur.

Les risques résultant de ces menaces exploitant des vulnérabilités, se traduisent par l’indisponibilité, la perte d’intégrité, de confidentialité ou de traçabilité des actifs informatiques.

Ils doivent être maîtrisés au travers d’un dispositif de contrôle des engagements contractuels qui lient l’entreprise au prestataire, avec des obligations renforcées pour les prestataires critiques notamment sur les volets suivants :

• Plan d’assurance sécurité du prestataire,
• Plan d’urgence et de poursuite d’activité du prestataire,
• Engagement de qualité de service du prestataire,
• Plan de réversibilité.

DORA va en effet imposer la mise en œuvre de nouvelles clauses contractuelles pour tous les prestataires.

Un parti pris de transparence en vue d’optimiser le retour sur investissement dans la maîtrise des risques

Une synthèse de ces évaluations et des actions qui en découlent doit faire l’objet d’une présentation à l’organe de direction et d’un rapport de réexamen du cadre de gestion des risques numériques, qui permettent de soutenir le renforcement de la maîtrise des risques.

Le modèle de gouvernance préconisé par DORA vise donc à favoriser l’amélioration continue de la résilience opérationnelle numérique des institutions financières, mais aussi celle de leurs prestataires de TIC.

Pour accéder à une vision claire du paysage de la menace et mettre en œuvre une allocation de moyens optimisée à la maîtrise des risques, l’organisme doit favoriser la transparence et encourager les équipes à surmonter les biais psychologiques inhérents à l’appréciation du risque notamment :

• une surévaluation de l’importance du risque par les métiers, avec des exigences de protection des actifs souvent supérieures aux besoins réels (notamment dans l’expression des durées maximales d’interruption admissibles),
• La tentation de la part des directions opérationnelles de dissimuler les failles et les lacunes, sur lesquelles il n’est jamais plaisant de communiquer, au travers d’indicateurs miraculeusement verts car conçus pour ne pas alerter.

Cela passe par le développement d’une culture du risque basée sur :

• une définition claire de l’appétence au risque, qui s’appuie sur une échelle d’impacts, des seuils de tolérance et des limites partagés par tous et utilisés comme référence dans les évaluations des risques à tous les niveaux,
• une appréciation des risques basée sur des évaluations à la fois qualitatives et quantitatives, pour mesurer les enjeux de la maîtrise des risques,
• l’exigence de la part des instances de direction d’une communication transparente sur le niveau de maturité réel des dispositifs de maitrise des risques et son implication dans la définition d’indicateurs de risque réalistes,
• l’engagement de la direction dans l’amélioration continue des dispositifs de maîtrise des risques, au travers de la fixation d’objectifs exigeants, assortis de l’allocation des moyens nécessaires pour les atteindre.

Sources :

• Orientations EIOPA sur la Gouvernance et la sécurité des Technologies de l’Information et de la Communication (EIOPA-BoS-20/600) : https://acpr.banque-france.fr/sites/default/files/media/2021/07/02/20210702_notices_orientations_aeapp.pdf

• Orientations EBA sur la gestion des risques liés aux TIC (EBA/GL/2019/04) : https://www.eba.europa.eu/sites/default/documents/files/document_library/Publications/Guidelines/2020/GLs%20on%20ICT%20and%20security%20risk%20management/Updated%20Translations/880815/Final%20draft%20Guidelines%20on%20ICT%20and%20security%20risk%20management_COR_FR.pdf

• Orientations EBA sur l’externalisation (EBA/GL/2019/02) https://www.eba.europa.eu/sites/default/documents/files/documents/10180/2761380/6565c789-487b-4528-8a17-4b94147dc5b8/EBA%20revised%20Guidelines%20on%20outsourcing_FR.pdf?retry=1

• Directive UE 2022/2555 dite NIS2 https://eur-lex.europa.eu/legal-content/FR/TXT/PDF/?uri=CELEX:32022L2555

• Document de réflexion de l’ACPR sur le risque informatique de 2019 : https://acpr.banque-france.fr/sites/default/files/medias/documents/819017_acpr_risque-informatique_fr_web.pdf

• Le règlement DORA Article de Douchka Pharose pour l’ESBanque : https://blog-conformite.esbanque.fr/reglement-dora-la-resilience-operationnelle-informatique-sans-frontieres/

• Blog de Marc-Antoine Ledieu Avocat spécialiste en droit du numérique qui fournit une analyse détaillée du règlement DORA et de la Directive NIS en BD : https://technique-et-droit-du-numerique.fr/dora-03-resilience-operationnelle-secteur-financier-la-menace-et-ses-definitions-legales/

• Article : L’effectiveness du modèle des 3 lignes de défense Barrea Maxime : https://dial.uclouvain.be/memoire/ucl/en/object/thesis%3A17773

Rédaction WEB : JUST DEEP CONTENT

Le télétravail s’est installé durablement dans le secteur bancaire. Point sur les risques de conformité, d’organisation et de teneur du travail, pour les établissements et pour les salariés.

Le télétravail s’est rapidement imposé dans un grand nombre de secteurs d’activité, devenant même prépondérant dans certaines fonctions. Pandémie ou non, il s’est installé de façon durable et est plébiscité tant par les salariés que par bien des employeurs.

Sans entrer dans le débat plus philosophique de la « valeur travail », opérer durablement à distance entraîne des conséquences spécifiques alors même que les processus d’organisation des entreprises sont généralement restés dans l’ancien schéma du travail en présentiel.

Pour un responsable de fonction risques ou conformité, il convient donc de prendre en compte ces nouveaux risques, tant pour l’entreprises que pour les salariés. Concernant ces derniers, on peut aussi se demander si un télétravail plus systématique ne constituerait pas des risques à terme dans la teneur de leurs emplois.

SOMMAIRE

• Télétravail : une installation durable et un défi supplémentaire pour l’industrie financière
• Télétravail : quels risques inhérents à court et plus long terme ?
• Un mode de travail pour lequel les entreprises n’ont pas véritablement repensé leur mode de fonctionnement
• Télétravail : un piège pour les salariés ?
• Quelques pistes de réflexion pour mieux intégrer le télétravail

Télétravail : une installation durable et un défi supplémentaire pour l’industrie financière

Longtemps resté marginal car mal perçu par les employeurs, le travail à distance, concernant les postes compatibles, s’est imposé dans l’urgence aux entreprises en mars 2020 : question de survie pour les uns ou d’opportunité pour d’autres.

Aujourd’hui, après la levée des restrictions sanitaires, nous ne sommes pas revenus dans le modèle « d’avant » mais un modèle hybride, mêlant travail à distance et travail sur site, s’est progressivement installé.

Télétravailler est devenu non seulement une normalité mais constitue même, dans bien des métiers, la norme. Dans l’industrie financière, ce modèle représente 3 jours par semaine au sein de nombreuses fonctions centrales. Les trois quarts des salariés souhaiteraient pouvoir en bénéficier et les candidats aux recrutements en font un critère de choix. Dans une tendance sociétale dans laquelle, on recherche un meilleur équilibre entre vie professionnelle et vie privée, le télétravail est là pour durer.

Par rapport aux autres secteurs de l’économie, l’intégration subite du télétravail dans l’industrie bancaire est venue s’ajouter à d’autres mutations importantes destinées à répondre à de lourds défis : concurrence des néobanques, désertion des réseaux physiques traditionnels, révolution technologique, réglementations pénalisantes…

Grâce à ces efforts de rationalisation et de digitalisation réalisés ces dernières années, les banques se sont retrouvées plutôt bien armées quand il a fallu déployer le travail à distance lors du confinement.

Télétravail : quels risques inhérents à court et plus long terme ?

Après l’annonce du confinement en mars 2020 et malgré quelques tâtonnements et freins techniques, assez vite résolus pour l’essentiel, le télétravail semble avoir été assez facilement développé. Les DRH (Directions des Ressources Humaines) ne peuvent que s’en réjouir : pas de dysfonctionnement majeur, économie de surfaces de bureau, de frais généraux et peut-être même une productivité en hausse selon certaines mesures.

Pourtant, on ne passe pas d’un mode de fonctionnement à un autre sans conséquences, soit à court, soit à plus long terme.

Le tableau suivant dresse une première liste de risques, à court, moyen ou long terme, ventilés selon les domaines :

• la sécurité,
• l’organisation du travail et le management,
• les ressources humaines
• la capacité à créer et évoluer.

Source : Chandara OK pour l’ESBanque

Avant le confinement, la question de la sécurité informatique était l’une des raisons majeures de la réticence au télétravail. Pourtant, du jour au lendemain, les directions S.I. (Système d’Information) ont ouvert l’accès à distance de tous les applicatifs des entreprises : les questions de sécurité des réseaux se sont-elles évaporées d’elles-mêmes ?

Dans la gestion courante, les applications de vidéoconférence permettent un grand nombre de combinaisons de réunion. Néanmoins, tout le monde peut observer qu’elles conduisent à un ralentissement et à une certaine posture rigide où l’on perd la spontanéité et le bénéfice des rencontres informelles.

L’accès ou l’échange de documents est toujours pénalisé par une digitalisation et un système de partage qui n’est pas encore complètement abouti.

La distance est aussi un enjeu pour l’encadrement sur la manière de faire, tant pour le suivi des travaux des collaborateurs, le contrôle permanent que pour l’animation de l’équipe. Si les contrôles peuvent dans certains cas être trop réduits, on a pu aussi observer dans d’autres cas des comportements au contraire un peu trop intrusifs, comme des contrôles incessants en ligne.

En matière de ressources humaines, on connait le risque d’isolement lié au travail prolongé à distance. Cet isolement, s’il agit sur le moral du collaborateur, aura donc aussi des conséquences sur la qualité du travail fourni et peut-être aussi sur son savoir-faire, son savoir-être, sa sécurité psychologique, son attachement à l’entreprise et également sur la culture d’entreprise elle-même.

Enfin, on peut aussi anticiper que tous les risques évoqués précédemment, entraîneraient des conséquences sur la conduite des projets ou la conception de nouveaux produits. Ce sont des travaux qui reposent sur des échanges transversaux fréquents, y compris ceux qui sont informels ou impromptus.  Il s’agit peut-être du domaine de risque le plus important pour la pérennité de l’entreprise.

Un mode de travail pour lequel les entreprises n’ont pas véritablement repensé leur mode de fonctionnement

Les risques inhérents au télétravail prolongé sont donc nombreux et sérieux. On s’accordera facilement sur le fait que travailler à distance ne ressemble pas entièrement à travailler sur site. Si le travail en présentiel n’est pas absent de risques, les organisations ont pu, au fil des siècles, adapter la manière de faire et les processus en conséquence.

Or on constate que, depuis le confinement, les entreprises ont peu modifié les référentiels, l’organisation ou les méthodes. Il s’agit davantage d’adaptations partielles ou isolées.

Les collaborateurs sont généralement libres par exemple de choisir individuellement les jours de présence dans l’entreprise. Seule existe parfois une obligation de regrouper hebdomadairement les membres d’un même service. S’il est important d’échanger face à face au sein d’une même équipe, il l’est autant, et même plus, entre équipes. Les dossiers complexes, transversaux ou les projets en dépendent.

Les managers sont pour leur part souvent laissés à eux-mêmes et rares sont ceux qui ont reçu des formations ou des indications claires sur la manière d’encadrer ou d’organiser à distance.

Le mode hybride tel qu’il est organisé, ou peu organisé, aujourd’hui comporte aussi un effet pervers. Les collaborateurs finissent par communiquer quasi systématiquement par écrans interposés, même en présentiel.

Avec le « flex open office » et la suppression du téléphone classique, il est difficile de savoir si les interlocuteurs sont présents ou non pour tenir une réunion. Discuter sur webcam permet aussi d’éviter de chercher une salle de réunion et de marcher quelques pas. Le nombre d’heure de travail en position fixe sans bouger s’accroît ainsi que la sédentarité et les risques de santé. Psychologiquement, certains se sentent même plus à l’aise derrière un écran, ayant le sentiment de moins s’exposer et deviennent réticents à une réunion physique.

Point de vigilance :

Un responsable de fonction clé peut donc constater que la pratique de terrain diffère, à des degrés divers, de ce qui a été prévu par le corpus procédural et la cartographie des risques, les deux ayant été conçus pour un mode traditionnel en présentiel. Si tel est le cas, cela signifie donc que le système de maîtrise des risques n’est plus adapté.

Télétravail : un piège pour les salariés ?

Sauf pour une minorité de salariés qui préfèrent le travail sur site, le télétravail est le plus souvent considéré comme avantageux : gains de temps de transport, meilleur équilibre entre vie privée et vie professionnelle, organisation de son temps de travail, impression de meilleure autonomie, possibilité de vivre loin du lieu de travail et ainsi se permettre un logement plus agréable …

Même si ces apports sont certains pour le salarié, ils présentent aussi une face cachée et des risques pour son évolution professionnelle. En voici quelques-uns :

• risque de mélange entre vie privée et vie professionnelle: par manque de séparation claire, le télétravail peut alors être un avantage ou un inconvénient selon les individus.
• risque d’isolement: pour sa santé personnelle et pour son efficacité au travail.
• risque de dégradation de son savoir-faire et de son savoir-être, avec des conséquences sur son employabilité, en interne comme en externe.
• risque d’être « oublié »: le manager sur site sollicitant davantage les collaborateurs sur site (c’est à dire à qui il a le plus facilement accès), ces derniers devenant donc plus « visibles » lors des promotions.
• risque d’être considéré comme non indispensable: les sureffectifs apparents étant plus perceptibles. Un manager peut être amené à mesurer la contribution de chacun par rapport à des mesures plus factuelles (selon le nombre de dossiers par exemple, de documents produits voire selon le volume de flux de messagerie …), même si ce procédé occulte certaines valeurs ajoutées moins mesurables. Ceux qui produiraient moins de volume seraient alors moins utiles ou moins productifs, à tort ou à raison.
• risque d’externalisation et de localisation du poste: s’il est possible de travailler durablement à distance, il serait donc assez facile d’externaliser les postes auprès d’un prestataire ou de délocaliser à l’étranger.
• risque d’accélérer la transformation digitale : s’il est possible de travailler durablement à distance, il serait donc assez facile de digitaliser et robotiser des processus.

Si certains sauront tirer leur épingle du jeu mais d’autres ne risqueraient-ils pas d’être plus vulnérables ?

Quelques pistes de réflexion pour mieux intégrer le télétravail

Ces quelques pistes de réflexion font écho aux écueils relevés précédemment :

• Organiser suffisamment de temps de partage, au sein d’un service et entre les services.
• Imposer une présence pour toute l’entreprise au moins un jour par semaine (ce qui vient contrecarrer partiellement l’espoir d’économiser des surfaces de bureau).
• Permettre à chacun de vérifier à tout moment la présence de n’importe quel collaborateur sur son poste de travail, au bureau comme à domicile par une indication électronique ou vidéo. Ce sujet est naturellement sensible mais l’information reste nécessaire.
• Pour l’encadrement : organiser davantage le pilotage de l’activité selon une approche par objectifs et par chantiers.
• Et bien sûr, actualiser la cartographie des risques en intégrant le mode « télétravail », ceci afin d’adapter les processus, le corpus procédural ou les contrôles permanents.

Le télétravail est certainement assimilable au sein d’un modèle hybride et équilibré. Il est nécessaire pour cela de repenser l’environnement organisationnel et faire évoluer certaines habitudes.

Le télétravail mène par ailleurs à de nouvelles questions. De part une forme de standardisation et d’ordonnancement des travaux qu’il implique, il risque de mettre pour partie les salariés en concurrence plus frontale avec des tentations d’externalisation de toutes sortes, y compris l’intelligence artificielle.

Le télétravail amène également à une réflexion plus profonde sur ce qu’est réellement une entreprise. S’agit-il simplement d’une somme de compétences et de travaux isolés ou est-ce plus que cela ?

Sources :

• Etude du cabinet Hays, sondage Ipsos 2022

• Etude OKTA Hybride Work 2023

Rédaction WEB : JUST DEEP CONTENT

Modèle indépendant dit « anglo-saxon » ou modèle intégré dit « français » : lequel adopter pour organiser les 3 niveaux de contrôle ? Quel est le plus efficace ? Quel est le plus conforme aux nouvelles exigences règlementaires ?

En matière de contrôle des risques et de conformité, la notion des « 3 niveaux de contrôle des risques » peut se comprendre selon deux lectures :

• soit un modèle avec 3 lignes de contrôle assurées par 3 acteurs de façon indépendante, souvent appliqué dans le monde anglo-saxon, que l’on appelle aussi « modèle anglo-saxon » pour simplifier.
• ou bien un modèle avec un contrôle homogène plus intégré dans lequel 3 acteurs y occupent chacun un rôle complémentaire, que l’on trouve assez souvent en France, que l’on peut désigner de « modèle français » ou modèle intégré.

… et bien-sûr toutes les solutions intermédiaires.

Au-delà du débat purement sémantique, il s’agit en fait de de 2 philosophies différentes du contrôle interne avec des conséquences importantes en matière d’organisation et de pilotage. Par sa réglementation bancaire spécifique, la France est depuis longtemps un cas particulier, qu’est venu préciser par ailleurs le récent arrêté du 25/02/2021.

Alors, quelles différences entre ces deux modèles ? Existe-t-il un modèle plus efficace et plus conforme par rapport aux derniers textes ? Quelles sont les conditions pour passer de l’un à l’autre ?

• Modèle anglo-saxon ou modèle intégré : un choix portant sur la philosophie et l’organisation du contrôle interne
• Quel modèle est plus efficace et permet d’être en conformité avec la réglementation ?

Modèle anglo-saxon ou modèle intégré : un choix portant sur la philosophie et l’organisation du contrôle interne

L’introduction dans le règlement français 97/02 en 2005 de la notion de ‘contrôle permanent distincte du contrôle périodique, avait suscité des interrogations quant aux conséquences pratiques.

L’apparition d’un second niveau de contrôle a remis en cause le rôle historique des métiers (de 1er niveau) et de l’audit (devenu 3ème niveau).  Par la suite, les réformes Bâle II puis Bâle III ont introduit, sur le plan international, des concepts assez proches de celui en place en France sans toutefois être identiques.

Chacun des 3 niveaux est donc légitime à réaliser des contrôles … mais alors quels contrôles ? Les mêmes ? Des contrôles différents ? Dans quelles conditions ? …

La question est soulevée principalement au sein du contrôle permanent : quelle est l’articulation entre les fonctions clés de 2ème niveau et les métiers de 1er niveau ?

Et même si le problème est aujourd’hui moins fréquent, on observe encore, çà et là, des duplications de tâches entre les auditeurs du contrôle périodique et les fonctions en charge du contrôle permanent de 2ème niveau.

La défense en ligne ou « modèle anglo-saxon »

La première approche consiste à simplement répartir voire dupliquer les contrôles de risque entre les 3 groupes d’acteurs :

Le 1er niveau effectuant des contrôles fréquents et granulaires,

Le 2ème niveau des contrôles moins fréquents et moins granulaires,

Le 3ème niveau enfin effectuant des vérifications selon un plan d’audit triennal ou quadriennal.

En prenant une image dans le domaine militaire, la banque peut être représentée par la forteresse médiévale ci-dessous. Elle doit se défendre contre des risques qui l’entourent en se dotant de 3 murailles concentriques qui représentent les 3 niveaux de contrôle.

Source : Chandara OK pour l’ESBanque

Dans ce schéma, la banque s’organise pour repousser les risques selon une défense en ligne.

Source : Chandara OK pour l’ESBanque

Chaque acteur évalue ses risques, bâtit sa propre muraille et maintient sa ligne de défense contre les chocs de risque (flèches en orange). Certains de ces risques, avec une intensité identique ou atténuée, vont franchir la 1er ligne pour buter contre la 2ème ligne tenue par les fonctions clés de 2ème niveau. Celles-ci vont à leur tour essayer de capter ou d’atténuer ces risques … ; ainsi de suite jusqu’à la 3ème ligne.

Beaucoup de banques françaises ont adopté cette défense en ligne dans un premier temps, avant d’évoluer progressivement. Certaines continuent encore cette méthode aujourd’hui car elle est assez simple mais … est-elle efficace et surtout est-elle conforme par rapport aux exigences réglementaires ?

Cette approche est aussi celle auparavant favorisée dans le monde anglo-saxon et que la littérature technique désigne par le terme « 3 lines of defence ». Pour être totalement juste, ce « modèle anglo-saxon» a néanmoins évolué ces dernières années pour se rapprocher progressivement du modèle plus intégré évoqué plus loin, dans une position intermédiaire que l’on peut qualifier d’hybride.

Le modèle intégré ou « modèle français »

A l’opposé du modèle précédent de défense sur 3 lignes, il s’agit ici d’une défense en profondeur, à partir d’une architecture et d’une organisation du contrôle interne unifiées.

Source : Chandara OK pour l’ESBanque

On peut considérer ici qu’il n’y a qu’une seule ligne de défense structurée avec 3 acteurs qui occupent des rôles différents mais complémentaires, les 2 premiers niveaux fonctionnant ensemble et formant le dispositif de contrôle permanent :

• En 1er niveau : des métiers qui assurent la défense sur le terrain (contrôle permanent de 1er niveau), chacun dans son secteur d’activité avec ses spécificités propres mais en respectant des règles structurantes communes dont le 2ème niveau en est le gardien.

• En 2ème niveau: des fonctions clés dotées d’équipes spécialisées (assurant un contrôle permanent de 2ème niveau) moins nombreuses, chargées de piloter les risques dont elles ont la charge. Leur rôle est donc essentiellement tourné vers le 1er niveau. Il comporte deux aspects :
  • veiller au bon fonction du contrôle permanent de 1er niveau, au regard des politiques en vigueur et des modalités auparavant convenues avec les  métiers (profilage des risques, choix des points de contrôle, formalisme, restitution des contrôles…). Cette vigilance repose notamment sur un exercice conjoint de la cartographie des risques, une vérification de la qualité des contrôles permanents de 1er niveau (« contrôle de contrôle ») et complétée par d’autres contrôles ciblés.
  • assurer des travaux complémentaires permettant un pilotage plus complet des risques, tels que : la revue des incidents, la consolidation et l’analyse des risques ainsi que les reportings vers les décideurs ou les pouvoirs publics …

• En 3ème niveau : la fonction clé « audit » assure le contrôle périodique de l’ensemble, c’est-à-dire :
  • l’existence, la conformité, le fonctionnement et la qualité de l’ensemble de dispositif de contrôle permanent selon les politiques de l’entreprise
  • ainsi que, le cas échéant, des règles de la maison-mère.

Pour rester dans l’image militaire, l’audit inspecte périodiquement les fondations et la solidité de la muraille ainsi que les moyens et la stratégie de défense mise en œuvre.

Dans cette logique, la fonction clé « audit » ne consiste donc pas à réaliser périodiquement des contrôles permanents.

Le 3ème niveau ne doit pas dupliquer ce que fait ou devrait faire le 2ème niveau, sous peine de gâcher les ressources et d’alourdir les activités. On peut identifier ce genre de dérive lorsqu’une mission d’audit est centrée sur des contrôles dits « sur la masse », c’est-à-dire portant sur le contrôle du 1er niveau. Elle devrait plutôt apprécier la façon dont le 2ème niveau organise et surveille le 1er niveau. C’est bien-sûr plus délicat et plus enrichissant que de simplement déployer des contrôles de type « check-list »

Quel modèle est plus efficace et permet d’être en conformité avec la réglementation ?

A cette question, l’analyse et la pratique de terrain dans une grande variété de structures bancaires conduisent à favoriser le modèle intégré.

En plein milieu de la pandémie du COVID, l’arrêté du 25/02/2021 vient confirmer ce choix en apportant les précisions suivantes quant au rôle des acteurs du contrôle interne :

Extraits de l’arrêté du 25/02/2021 :

«Les entreprises assujetties disposent, selon des modalités adaptées à leur taille, à la nature et à la complexité de leurs activités, de trois niveaux de contrôle distincts :

a) Le premier niveau de contrôle est assuré par des agents exerçant des activités opérationnelles. Ces agents identifient les risques induits par leur activité et respectent les procédures et les limites fixées.

b) Le deuxième niveau de contrôle est assuré par des agents au niveau des services centraux et locaux, exclusivement dédiés à la gestion des risques y compris le risque de non-conformité. Dans le cadre de cette mission, ces agents vérifient notamment que les risques ont été identifiés et gérés par le premier niveau de contrôle selon les règles et procédures prévues…

c) Le troisième niveau de contrôle est assuré par la fonction d’audit interne composée d’agents au niveau central et, le cas échéant, local distincts de ceux réalisant les contrôles de premier et deuxième (…) »

Au-delà des seuls aspects réglementaires, le tableau ci-dessous synthétise les principaux avantages et inconvénients intrinsèques des deux modèles :

Source : Chandara OK pour l’ESBanque

Le modèle de défense en ligne présente surtout l’avantage de la facilité et de la rapidité de mise en œuvre, au détriment d’une certaine rigidité qui se révèle pénalisante dans le contexte actuel où tout évolue vite, tant du point de vue réglementaire que du contexte socio-économique.

A contrario, le modèle de défense intégrée est plus complexe à mettre en place. Il nécessite, pour bien faire, de (re)penser son dispositif de contrôle interne et de réussir à entraîner non seulement une adhésion large, mais aussi une discipline collective.

Il implique aussi une conviction et une volonté fortes des dirigeants et que l’on décline dans des politiques écrites précises : particulièrement une charte de contrôle interne décrivant clairement les obligations réciproques entre le 1er et le 2ème niveau.

Tous ces préalables, qui peuvent être perçus a priori comme des contraintes, sont aussi des opportunités pour harmoniser et faire évoluer son contrôle interne, parfois figé depuis longtemps.

Du point de vue réglementaire, l’arrêté du 25/02/2021 focalise la vigilance du 2ème niveau sur la qualité du 1er niveau et celle du 3ème niveau sur le dispositif de contrôle permanent dans son ensemble. Il évoque aussi l’interdépendance entre les 3 acteurs en vue d’une (seule) défense de la banque, ce qui milite pour le modèle intégré.

Le modèle de défense intégrée (« modèle français ») se révèle être le meilleur compromis et donc le choix à privilégier. Il est non seulement celui suggéré indirectement par l’arrêté du 25/02/2021, mais aussi, une fois les efforts initiaux consentis, la solution qui se révèle la plus performante et la plus souple.

Un autre avantage, et non des moindres, est qu’il oblige à une plus forte implication des dirigeants et à davantage de communication entre les équipes. La mise en œuvre d’une contrainte réglementaire converge alors vers un bénéfice opérationnel.

Pour les établissements encore dans le modèle « défense en ligne », il s’agirait donc de muter vers le « modèle intégré », tout en profitant de ce chantier pour lancer une mise à plat généralement salutaire. Pour ceux qui y sont déjà, ce dispositif doit continuer à évoluer avec des progrès continus.

Pour les filiales françaises de groupes étrangers, anglo-saxons ou non, cette doctrine du contrôle interne bancaire peut être parfois vue comme singulière, et même parfois ne pas être comprise. Cette situation conduit alors à de longs débats avec la maison-mère. La pratique de terrain montre néanmoins que le « modèle intégré » est généralement compatible avec des habitudes anglo-saxonnes plus proches du « modèle en ligne », à condition de fournir, çà et là, au groupe quelques travaux complémentaires.

Sources : 

• Arrêté du 25 février 2021 modifiant l’arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque, des services de paiement et des services d’investissement soumises au contrôle de l’Autorité de contrôle prudentiel et de résolution

• Arrêté du 31 mars 2005 modifiant le règlement du Comité de la réglementation bancaire et financière n° 97-02 du 21 février 1997 relatif au contrôle interne des établissements de crédit et des entreprises d’investissement