Quand le logiciel GRC devient une tour de contrôle

Gartner situe le marché des logiciels GRC dans une nouvelle phase de croissance pour 2025, portée par l’IA et l’évolution des cyber-risques. Derrière ce mouvement de marché se cache une évolution plus discrète mais plus lourde de conséquences : le passage d’un test ponctuel des contrôles à une observation continue des risques et des contrôles. Cette évolution n’est pas d’abord une question technique, mais une question de gouvernance. Ceux qui surveillent en continu doivent aussi pouvoir attribuer les responsabilités, reporter et décider en continu.

Que prévoient réellement les textes de surveillance ?

Ni la circulaire FINMA 2023/1 ni les lignes directrices de l’EBA sur les risques informatiques n’imposent la surveillance continue comme méthode obligatoire, mais toutes deux renforcent les exigences relatives aux inventaires et à la gouvernance.

La circulaire FINMA 2023/1 entièrement révisée, relative aux risques opérationnels et à la résilience, a été adoptée le 13 décembre 2022 et est entrée en vigueur le 1er janvier 2024, comme l’a rapporté Lexology le 19 janvier 2023. Elle repose sur des principes, se veut neutre sur le plan technologique et impose un inventaire cohérent des risques opérationnels à l’échelle de l’établissement.

Dans les deux ans suivant l’entrée en vigueur de la circulaire, les établissements doivent, selon InfoGuard, garantir la résilience opérationnelle et satisfaire à d’autres exigences de la circulaire. Ce délai concerne la substance des preuves, non la fréquence des tests qui les sous-tendent.

Les tests périodiques restent-ils tout de même en place ?

Oui, des instruments ponctuels tels que les contrôles sur place demeurent un outil central de surveillance, tandis que certaines obligations font l’objet, en parallèle, d’une surveillance continue.

La FINMA a réalisé 111 contrôles sur place auprès des banques, 55 auprès des assureurs et 20 dans la gestion de fortune en 2024, comme l’a rapporté finews.ch le 8 avril 2025. Parallèlement, la FINMA décrit la surveillance continue des règles de lutte contre le blanchiment d’argent comme une tâche permanente.

Pour les fonctions risque et conformité, cela crée deux lignes de preuves parallèles : des données constamment à jour pour le volet permanent de la surveillance, et une documentation prête pour l’audit lors des contrôles ponctuels. Les deux lignes s’appuient sur les mêmes données sous-jacentes, mais nécessitent une préparation différente.

Qu’est-ce que le modèle des trois lignes change à la collaboration ?

L’IIA a renommé son modèle en 2020, mettant davantage l’accent sur la collaboration et la responsabilisation plutôt que sur la seule défense, sans préciser concrètement la répartition des ressources entre les lignes.

Le 20 juillet 2020, l’IIA a publié la mise à jour majeure du modèle des trois lignes, abandonnant délibérément le terme « défense » pour signaler que sa finalité dépasse les seules mesures de protection, comme l’a noté Diligent le 19 décembre 2025.

Une analyse de l’Université de Saint-Gall relève que le modèle a introduit, pour la première fois, une définition explicite de la notion d’assurance, absente jusque-là des normes de l’IIA. Ni l’IIA ni les textes de surveillance cités ici ne précisent en détail l’incidence de ce changement sur les profils de poste ou les ressources des première, deuxième et troisième lignes.

Quel impact sur l’indépendance de la deuxième ligne ?

Les lignes directrices de l’EBA imposent explicitement une séparation de la fonction de contrôle vis-à-vis des processus opérationnels informatiques, quel que soit le degré d’intégration technique de la surveillance.

Les lignes directrices de l’EBA relatives à la gestion des risques informatiques et de sécurité s’appliquent depuis le 30 juin 2020 et, selon Proper Banking, s’adressent pour la première fois directement aux établissements de crédit et aux établissements de paiement. Elles exigent l’indépendance et l’objectivité de la fonction de contrôle par une séparation organisationnelle adéquate.

Une base de données commune pour la surveillance ne signifie donc pas automatiquement une responsabilité partagée. Les exigences de gouvernance applicables aux fonctions critiques continuent d’imposer des responsabilités distinctes, même lorsque les données sous-jacentes sont identiques.

Qu’est-ce que cela signifie pour les lignes de reporting vers la direction générale et le conseil d’administration ?

Selon les huit principes de la circulaire FINMA, le contrôle des risques rend compte au conseil d’administration au moins une fois par an et à la direction générale au moins deux fois par an, indépendamment de la méthode de test employée.

Selon KPMG, le conseil d’administration doit approuver au moins une fois par an les fonctions critiques de la banque et leurs tolérances aux perturbations, comme l’a résumé Redguard le 24 mai 2024. Au niveau européen également, le cadre se durcit : le règlement DORA est entré en vigueur le 16 janvier 2023 et s’applique directement à la quasi-totalité des entités financières depuis le 17 janvier 2025, comme le relèvent KPMG et Orbiq.

Ces échéances de reporting ne changent pas automatiquement à mesure que les points de données se multiplient. Ceux qui surveillent en continu devraient néanmoins vérifier si les contrôles de risques informatiques existants fournissent les bonnes informations pour le prochain cycle de reporting.

Une première étape concrète : la fonction risque ou conformité rapproche l’inventaire des contrôles existant des cycles de reporting destinés au conseil d’administration et à la direction générale avant la prochaine échéance de reporting régulière, et documente par écrit les éventuels écarts.