Le FSB se penche sur le risque de la sous-traitance informatique des banques

Plus que jamais, les grandes banques semblent dépendantes de leurs prestataires informatiques. Deutshe Bank en est l’illustration. La banque allemande a officialisé hier le rachat de l’informatique de sa filiale Postbank par l’indien Tata, en parallèle de ses négociations avec Google pour un contrat géant dans le cloud (informatique dématérialisée).

Ce n’est donc pas un hasard si le Conseil de stabilité financière (ou Financial Stability Board, FSB) se penche sur la sous-traitance (outsourcing) informatique. Après ses rapports sur les Big Tech concurrentes des banques et sur l’envolée du cloud l’an dernier, l’organisme international a publié hier un discussion paper sur le sujet, ouvert à contributions jusqu’au 8 janvier prochain.

Si le recours aux sous-traitants n’est pas nouveau, «il y a une préoccupation commune concernant la possibilité d’un risque systémique découlant de la concentration dans la fourniture de certains services externalisés et exercés par des tiers pour les institutions financières», estime le FSB. «Une perturbation, une panne ou une défaillance majeures chez l’un de ces tiers pourrait créer un point de défaillance unique, avec des conséquences négatives potentielles pour la stabilité financière et/ou la sécurité et la solidité de plusieurs institutions financières, ajoute ce comité qui coordonne l’action des régulateurs nationaux. Étant donné la nature transfrontalière de cette dépendance, les autorités de surveillance et les tiers pourraient particulièrement bénéficier d’un dialogue renforcé sur cette question.»

Au-delà des tendances structurelles, «la réponse récente du secteur financier au Covid-19 met en évidence les avantages ainsi que les défis de la gestion des risques liés aux interactions des institutions financières avec des tiers», pointe le FSB. Lors du premier confinement par exemple, les banques, les assureurs et les entreprises d’investissement ont parfois eu du mal à équiper en urgence leurs salariés pour travailler à distance, avec la double contrainte de maintenir la qualité de service et d’éviter les fraudes.

Face à tous ces risques, les régulateurs ont commencé à agir. Sans aller jusqu’à superviser les sous-traitants informatiques, certains exigent déjà qu’ils fournissent des plans de continuité d’activité et ou de gestion des risques, notamment en matière de cybersécurité (EBA, Iosco…) ou qu’ils leur communiquent des données confidentielles (Esma, PRA…).