3.2 Détection des risques significatifs liés aux TIC

Les autorités compétentes devraient détecter les risques significatifs liés aux TIC auxquels l’établissement est ou pourrait être exposé en suivant les étapes décrites ci-dessous. 3.2.1 Examen du profil de risque lié aux TIC de l’établissement

Lors de l’examen du profil de risque lié aux TIC de l’établissement, les autorités compétentes devraient prendre en considération toutes les informations pertinentes sur les expositions aux risques liés aux TIC de l’établissement, notamment les informations visées au paragraphe 37 et les lacunes ou faiblesses significatives constatées dans l’organisation des TIC et les mécanismes de maîtrise du risque dans l’ensemble de l’établissement décrits au titre 2 des présentes orientations, et, le cas échéant, examiner ces informations de manière proportionnée. Dans le cadre de cet examen, les autorités compétentes devraient prendre en considération:

• a. l’incidence potentielle d’une perturbation importante des systèmes de TIC de l’établissement sur le système financier, soit au niveau national, soit au niveau international;
• b. le fait de savoir si l’établissement peut être exposé à des risques pour la sécurité des TIC ou à des risques pour la disponibilité et la continuité des TIC s’il est tributaire d’internet, du recours important à des solutions innovantes de TIC ou d’autres canaux de distribution économiques qui peuvent en faire une cible privilégiée de cyberattaques;
• c. le fait de savoir si l’établissement pourrait être plus exposé aux risques pour la sécurité des TIC, aux risques pour la disponibilité et la continuité des TIC, aux risques pour l’intégrité des données des TIC ou aux risques liés au changement des TIC en raison de la complexité (par exemple à la suite de fusions ou d’acquisitions) ou de l’obsolescence de ses systèmes de TIC;
• d. le fait de savoir si l’établissement apporte des changements significatifs dans ses systèmes de TIC et/ou la fonction TIC (par exemple en raison de fusions, d’acquisitions, de cessions ou de remplacement de ses systèmes principaux de TIC), ce qui peut avoir une incidence négative sur la stabilité ou le bon fonctionnement des systèmes de TIC et entraîner des risques significatifs pour la disponibilité et la continuité des TIC, des risques pour la sécurité des TIC, des risques liés au changement des TIC ou des risques liés à l’intégrité des données TIC;
• e. le fait de savoir si l’établissement a externalisé des services de TIC ou des systèmes de TIC à l’intérieur ou à l’extérieur du groupe, ce qui pourrait l’exposer à des risques significatifs liés à l’externalisation des TIC;
• f. le fait de savoir si l’établissement prend des mesures radicales pour réduire le coût des TIC, ce qui pourrait entraîner la réduction des investissements, des ressources et de l’expertise nécessaires en matière de TIC et pourrait accroître l’exposition à tous les types de risques liés aux TIC définis dans la taxonomie;
• g. le fait de savoir si l’emplacement des centres d’opérations des TIC ou des centres de données importants (par exemple, régions, pays) risque d’exposer l’établissement à des catastrophes naturelles (par exemple inondations, séismes), à une instabilité politique ou à des conflits du travail et à des désordres civils susceptibles d’entraîner un accroissement significatif des risques pour la disponibilité et la continuité des TIC et des risques pour la sécurité des TIC.

3.2.2 Examen des systèmes et services de TIC essentiels

Dans le cadre du processus visant à détecter les risques liés aux TIC susceptibles d’avoir une incidence prudentielle significative sur l’établissement, les autorités compétentes devraient examiner la documentation de l’établissement et formuler un avis précisant quels systèmes et services de TIC sont essentiels au bon fonctionnement, à la disponibilité, à la continuité et à la sécurité des activités premières de l’établissement.

À cette fin, les autorités compétentes devraient examiner la méthodologie et les processus appliqués par l’établissement pour identifier les systèmes et les services de TIC qui sont essentiels, en tenant compte du fait que certains systèmes et services peuvent être considérés par l’établissement comme essentiels du point de vue de la continuité et de la disponibilité de l’activité, de la sécurité (par exemple la prévention de la fraude) et/ou de la confidentialité (par exemple les données confidentielles). Lors de l’examen, les autorités compétentes devraient le mener en prenant en compte le fait que les systèmes et services de TIC essentiels devraient remplir au moins une des conditions suivantes:

• a. ils soutiennent le cœur de métier de l’établissement (opérations et canaux de distribution, par exemple les guichets automatiques, les services bancaires en ligne et mobiles);
• b. ils soutiennent des processus de gouvernance et des fonctions d’entreprise essentiels, notamment la gestion du risque (par exemple les systèmes de gestion du risque et de gestion de la trésorerie);
• c. ils sont soumis à des exigences juridiques ou réglementaires spéciales (le cas échéant) qui imposent des conditions plus strictes en matière de disponibilité, de résilience, de confidentialité ou de sécurité [par exemple la législation sur la protection des données, éventuellement un «temps de reprise admissible» (RTO, Recovery Time Objective , soit le délai maximal de redémarrage d’un système ou d’un processus après un incident) et une «perte de données maximale admissible» (RPO, Recovery Point Objective , soit la durée maximale pendant laquelle des données peuvent être perdues en cas d’incident)] pour certains services d’importance systémique (le cas échéant);
• d. ils traitent ou stockent des données confidentielles ou sensibles pour lesquelles un accès non autorisé pourrait avoir une incidence significative sur la réputation, les résultats financiers ou la solidité et la continuité des activités de l’établissement (par exemple les bases de données contenant des données confidentielles sur les clients); et
• e. ils fournissent des fonctionnalités de base qui sont vitales pour le bon fonctionnement de l’établissement (par exemple les services de télécommunications et de connectivité, des services de TIC et de cybersécurité).

3.2.3 Détection des risques significatifs liés aux TIC relatifs aux systèmes et services de TIC essentiels

Compte tenu des examens effectués sur le profil de risque lié aux TIC de l’établissement et sur les systèmes et services de TIC essentiels susmentionnés, les autorités compétentes devraient se prononcer sur les risques significatifs pour les TIC qui, selon leur jugement prudentiel, peuvent avoir une incidence prudentielle significative sur les systèmes et services de TIC essentiels de l’établissement.

Lors de l’évaluation de l’incidence potentielle des risques liés aux TIC sur les systèmes et les services de TIC essentiels d’un établissement, les autorités compétentes devraient prendre en considération:

• a. l’incidence financière, notamment (mais sans s’y limiter) la perte de fonds ou d’actifs, la compensation éventuelle des clients, les frais juridiques et les frais liés aux mesures correctives, les dommages contractuels, les pertes de revenus;
• b. le potentiel de perturbation des activités, compte tenu (mais sans s’y limiter) de l’importance des services financiers touchés; le nombre de clients et/ou de succursales et de employés potentiellement concernés;
• c. l’incidence potentielle sur la réputation de l’établissement en fonction de l’importance des services bancaires ou des activités opérationnelles touchés (par exemple le vol de données des clients); le profil/la visibilité externe des systèmes et services de TIC touchés (par exemple les systèmes bancaires mobiles ou en ligne, les points de vente, les guichets automatiques ou les systèmes de paiement);
• d. l’incidence réglementaire, notamment le risque de sanction par le régulateur avec publication de la décision, les amendes ou même l’éventualité d’un retrait d’autorisation d’exercer;
• e. l’incidence stratégique sur l’établissement, par exemple, si des produits stratégiques ou des plans d’entreprise sont compromis ou volés.

Les autorités compétentes devraient ensuite cartographier les risques liés aux TIC détectés qui sont considérés comme significatifs dans les catégories de risque lié aux TIC suivantes, pour lesquelles une description supplémentaire et des exemples de risques sont fournis en annexe. Les autorités compétentes devraient se pencher sur les risques liés aux TIC dans l’annexe dans le cadre de l’évaluation présentée au titre 3:

• a. Risque pour la disponibilité et la continuité des TIC
• b. Risque pour la sécurité des TIC
• c. Risque lié au changement des TIC
• d. Risque pour l’intégrité des données TIC
• e. Risque lié à l’externalisation des TIC

La cartographie doit aider les autorités compétentes à déterminer quels risques sont significatifs (le cas échéant) et devraient donc être soumis à un examen plus attentif et plus approfondi lors des étapes d’évaluation suivantes.