Repenser la notion de résilience pour les acteurs des services financiers

Les acteurs du secteur Banque / Assurance ont dû fortement renforcer leurs capitalisations depuis la crise financière mondiale de la fin des années 2000, et continueront fort probablement d’être supervisés de près sur ce sujet, du moins en Europe, afin de s’assurer de leurs capacités à résister aux chocs financiers.

Mais ce qui est nouveau depuis cette crise, qui avait fortement mis à mal le système financer et en particulier le système bancaire, est l’émergence et la multiplication des risques opérationnels « non-financiers » - notamment Cyber, IT, Tiers. Leur croissance est telle, notamment les menaces Cyber, que cette nature de risque est aujourd’hui considérée comme un risque systématique à part entière par le monde des services financiers et leurs autorités de tutelle.

Or les banques et les assureurs sont de plus en plus conscients qu’ils ne savent pas et ne peuvent pas prévoir d’où viendra la prochaine menace. La meilleure façon de gérer ces risques opérationnels est donc d’améliorer tout autant leur résilience en cas de crise que leur capacité à s’en protéger.

La résilience, clé de la performance durable

Le mot ‘résilient’ signifiait souvent jusqu’ici être invulnérable face aux menaces. Mais aujourd’hui, la résilience n’est pas forcément synonyme d’être capable de résister à toutes les attaques, mais plutôt de savoir identifier et anticiper les menaces, d’avoir la capacité à s’adapter et à réagir rapidement, puis d’en tirer potentiellement des bénéfices en tirant les enseignements d’un incident afin de continuer à se renforcer.

D’ailleurs, la résilience peut exprimer toute sa valeur en temps de crise. Une étude d’Accenture portant sur 1 600 entreprises dans le monde, montre que les organisations les plus résilientes surpassent leurs concurrents en périodes de forte pression, avec une croissance plus rapide du chiffre d’affaires et des bénéfices plus élevés.

Pour les banques, les assureurs et les acteurs des marchés de capitaux, la résilience repose sur quatre piliers essentiels :

1. Résilience opérationnelle : Les entreprises des services financiers ont profondément remanié leur écosystème de partenaires externes, s’appuyant sur un ensemble dense de fournisseurs pour assurer des fonctions de plus en plus importantes. Parmi eux, les fournisseurs software-as-a-service (SaaS), prisés pour leur agilité et leur capacité d’innovation, mais dont les priorités fonctionnelles peuvent reléguer la sécurité au second plan. Dans le cadre du Digital Operational Resilience Act (DORA), les régulateurs de l’Union Européenne ont défini des standards technologiques précis pour renforcer la résilience du secteur avec une attention particulière sur leurs fournisseurs critiques. Les systèmes centraux doivent par exemple désormais notamment intégrer des pare-feux modulaires, conçus pour cloisonner les risques et garantir la fiabilité des architectures. Cette flexibilité n’est pas un luxe : elle est essentielle pour anticiper les défaillances et limiter les effets domino. Pourtant, l’attention portée à l’élargissement du périmètre de supervision à certains fournisseurs ne doit pas occulter une question fondamentale (également couverte par DORA) : les banques et assureurs sont-ils réellement en capacité de restaurer rapidement une version minimale viable de leur activité en cas de cyberattaque ou de panne majeure ? Cela reste sans aucun doute encore parfois un point de faiblesse de certains acteurs.

2. Résilience des personnes : Les banques et les assureurs doivent également se demander s’ils disposent d’un vivier de talents suffisant sur certaines compétences critiques en voie de disparition (« cliff skills »). Par exemple, le nombre d’employés capables de travailler dans des environnements mainframe diminue, car ces professionnels approchent de la retraite. Les jeunes techniciens n’ont pas été formés à ces technologies, pourtant les banques, pionnières de l’utilisation du mainframe, en restent fortement dépendantes. Les entreprises de services financiers doivent donc intégrer ce risque et s’adapter rapidement à ces enjeux.

3. Résilience commerciale : Les attentes des clients évoluent sans cesse, et leur perception du risque s’intensifie. Selon l’étude Consumer Pulse d’Accenture, menée en janvier auprès de 18 000 consommateurs dans 14 pays, 54 % des répondants déclarent ressentir des « niveaux d’incertitude exceptionnellement élevés » — soit plus du double par rapport à 2024 (24 %) et trois fois plus qu’en 2023 (18 %). Dans ce contexte, la fidélité client constitue une protection précieuse en période de chocs. Les entreprises des services financiers doivent identifier leurs segments de clientèle et sources de revenus associées les plus exposés, et définir comment renforcer le soutien à leur apporter en période de turbulence.

4. Résilience technologique : Tout commence — et se termine — par un « digital core » robuste : un assemblage stratégique de technologies et de pratiques, incluant des plateformes informatiques, des données, de l’intelligence artificielle et une sécurité embarquée. La cybersécurité est particulièrement cruciale pour les entreprises des services financiers, qui deviennent des cibles privilégiées en période d’incertitudes. L’intégration des capacités d’IA générative dans les processus métier, associée à des architectures agentiques permettant la prise de décision autonome, sera également essentielle pour créer un avantage technologique stratégique et stimuler la productivité. Enfin, particulièrement en Europe, la souveraineté numérique — la capacité à contrôler les données, le matériel et les logiciels sur lesquels on s’appuie et que l’on crée — devient de plus en plus importante à mesure que les conflits géopolitiques s’intensifient. Il sera difficile d’y parvenir pour les banques françaises, mais il est essentiel d’y réfléchir pour renforcer leur résilience technologique.

Une nouvelle manière d’aborder tout ce que signifie la résilience

La résilience repose évidemment sur une coordination entre les opérations, la technologie et la gestion des risques. Mais elle implique aujourd’hui également une capacité à anticiper un panel de risques de plus en plus large, à s’adapter et à tirer des enseignements des incidents pour renforcer les défenses de l’organisation et sa capacité à maintenir ou redémarrer rapidement ses activités en cas de crise majeure. Passés la date d’entrée en vigueur de DORA et les travaux de mise en conformité associés réalisés jusque-là, cela reste un défi majeur pour toute l’industrie des services financiers.