# Émirats arabes unis : la nouvelle réglementation sur le risque opérationnel fait passer la GRC du contrôle à la résilience > SwissGRC® erklärt das Règlement n° C 1/2026 der Zentralbank der VAE zu operationellem Risiko und Resilienz, in Kraft seit dem 14. September 2026. Der Beitrag richtet sich an GRC-Funktionen von Finanzinstituten und zeigt Anforderungen sowie erste Schritte. - URL: https://swissgrc.com/fr/emirats-risque-operationnel-resilience-role-grc/ - Éditeur: SwissGRC® - Publié: 2026-09-18 - Dernière mise à jour: 2026-09-20 ## Points clés - Le règlement n° C 1/2026 de la Banque centrale des Émirats arabes unis est entré en vigueur le 14 septembre 2026 et remplace intégralement la circulaire n° 163/2018. - Il s’applique à tous les établissements financiers agréés dotés de la personnalité juridique, et pas seulement aux banques. - Pour chaque activité critique, les établissements fixent une tolérance de perturbation : durée maximale d’interruption et niveau d’impact supportable. - La déclaration est échelonnée : notification à la Banque centrale sous quatre heures, rapport succinct sous 24 heures, déclaration supplémentaire sous 72 heures pour les incidents de gravité élevée. - Pour les fonctions critiques, un test d’intrusion par une partie externe indépendante est requis, et ses résultats sont présentés au conseil d’administration. - Les manquements peuvent entraîner des sanctions administratives ou financières, jusqu’à la mise sous administration externe temporaire de l’établissement. Le 14 septembre 2026, le règlement sur la gestion du risque opérationnel et la résilience opérationnelle de la Banque centrale des Émirats arabes unis est entré en vigueur, comme le rapporte Gulf News. Le règlement n° C 1/2026 avait déjà été adopté en février 2026 et remplace le référentiel de 2018. Il s’applique à l’ensemble des établissements financiers agréés dotés de la personnalité juridique, et non aux seules banques. Au cœur du texte figure un changement de référence : ce qui compte n’est plus l’évitement des pertes opérationnelles, mais la capacité démontrable à maintenir les activités, à s’adapter, à se rétablir et à tirer des enseignements des incidents. Pour les fonctions GRC, il vaut la peine d’examiner ce que ce changement de rôle exige sur le plan structurel. En bref Le règlement sur le risque opérationnel et la résilience opérationnelle de la Banque centrale des Émirats arabes unis, en vigueur depuis le 14 septembre 2026, ne mesure plus les établissements à l’aune de l’évitement des pertes, mais de leur capacité de rétablissement démontrable. Les établissements doivent fixer des tolérances de perturbation pour chaque activité critique, tester le rétablissement au lieu de le documenter et déclarer les incidents graves dans un délai de quatre heures, suivi d’un rapport succinct sous 24 heures. ## Que remplace exactement le nouveau règlement ? Le [règlement sur la gestion du risque opérationnel](https://gulfnews.com/business/banking/uae-overhauls-bank-risk-rules-4-hour-reporting-cyber-tests-and-tougher-penalties-1.500675080) de la Banque centrale des Émirats arabes unis, connu sous le nom de règlement n° C 1/2026, remplace intégralement la circulaire n° 163/2018 relative à la gestion du risque opérationnel ainsi que les normes associées. Le règlement s’applique à tous les établissements financiers agréés dotés de la personnalité juridique et ne se limite donc pas aux banques. La Banque centrale peut imposer des exigences supplémentaires lorsque cela s’avère nécessaire et publier d’autres normes ou orientations. Le référentiel reste donc ouvert à des extensions plutôt que figé dès son entrée en vigueur. Son calendrier s’inscrit dans un ensemble plus large. Le règlement a été adopté dès février 2026 parmi les textes d’application de la nouvelle loi sur la Banque centrale, le décret-loi fédéral n° 6 de 2025, entré en vigueur le 16 septembre 2025, comme le détaille le cabinet Hadef & Partners. L’article 184 de cette loi accordait aux établissements un an pour mettre leur situation en conformité avec ses dispositions, d’où l’échéance du 15 septembre 2026. Le nouveau règlement sur le risque opérationnel prend donc effet exactement un jour avant cette échéance. Les établissements qui ont traité cette date comme une simple échéance de droit des licences et des sociétés ont peut-être sous-estimé le volet opérationnel. ## Pourquoi la résilience opérationnelle devient-elle la nouvelle référence ? Le référentiel déplace l’attention de l’évitement traditionnel des pertes opérationnelles vers la constitution d’établissements capables de maintenir leurs activités, de s’adapter, de se rétablir et de tirer des enseignements des incidents. Le levier concret réside dans les tolérances de perturbation. Les établissements doivent identifier les activités critiques dont la défaillance pourrait causer un préjudice important aux clients, à l’établissement lui-même ou au système financier, et fixer pour chacune d’elles une tolérance clairement définie : la durée maximale acceptable d’une interruption et le niveau d’impact encore supportable. Selon l’activité, il s’agit notamment des virements et paiements, de l’accès aux comptes et du traitement des salaires, ainsi que du fonctionnement de toutes les catégories de cartes. La preuve attendue passe ainsi de l’existence d’un plan de reprise à la capacité de fournir ou de rétablir le service dans des délais et des tolérances définis à l’avance. Par rapport au référentiel de 2018, les nouveautés portent sur la résilience opérationnelle, l’identification des activités critiques, la cartographie des dépendances, la cybersécurité, la gestion des risques tiers, les tests de résistance et d’intrusion, la déclaration en quatre heures, la gestion du changement, la protection des clients, la gouvernance des données et la publication d’informations. L’obligation de déclaration est échelonnée et ne se réduit pas à un seul délai. Lorsqu’un événement a, ou est susceptible d’avoir, un impact significatif sur la continuité et la sécurité d’activités critiques, l’établissement doit informer la Banque centrale dans un délai de [quatre heures](https://gulfnews.com/business/banking/new-uae-central-bank-rules-target-outages-fraud-and-cyberattacks-1.500674991) et identifier les activités concernées. Dans les 24 heures suit un rapport succinct sur la nature de l’incident, les mesures prises, l’impact potentiel et le délai prévu de retour à la normale. Une fois les activités normales rétablies, la Banque centrale doit de nouveau être informée. Pour les incidents de gravité élevée selon les critères de classification propres à l’établissement, une déclaration supplémentaire s’impose sous 72 heures. La question de savoir quelles activités sont réputées critiques et comment les hiérarchiser se pose également aux établissements européens avec les [orientations de l’ABE sur les fonctions critiques](https://swissgrc.com/fr/orientations-abe-risques-tiers-services-non-tic/). ## Qu’est-ce que cela implique pour les trois lignes de défense ? Le règlement réaffirme le modèle des trois lignes de défense, exige une fonction indépendante de gestion du risque opérationnel dirigée par le Chief Risk Officer et étend explicitement la responsabilité jusqu’à la direction générale et au conseil d’administration. Les lignes métiers, en première ligne, assurent l’identification, l’évaluation et la maîtrise continues des risques dans les activités quotidiennes. La gestion des risques et la conformité, en deuxième ligne, exercent une surveillance relativement indépendante et remettent en question, si nécessaire, les décisions de la première ligne. L’audit interne, en troisième ligne, fournit une assurance indépendante sur l’efficacité du dispositif. La fonction indépendante de risque opérationnel doit disposer de ressources suffisantes et développer sa propre appréciation des risques significatifs, évaluer l’efficacité des contrôles internes, examiner le profil de risque opérationnel, identifier les menaces et vulnérabilités affectant les activités critiques et assurer la formation et la sensibilisation au risque. La répartition des rôles au sommet est explicite : le conseil d’administration approuve les stratégies, les politiques et l’appétence au risque, tandis que la direction générale les met en œuvre et veille à la disponibilité de systèmes, de ressources et de personnel qualifié appropriés. Cette structure n’est pas nouvelle, mais elle est désormais soumise à une épreuve plus exigeante : ce qui compte n’est pas l’existence des trois lignes, mais leur capacité à produire une vision commune de la situation en quatre heures lors d’un événement réel. L’évolution d’ensemble de l’articulation entre les trois lignes est décrite dans le nouveau modèle des trois lignes des orientations de l’IIA. ## Quelles conséquences en cas de manquement ? Il s’agit d’obligations prudentielles contraignantes et non d’orientations facultatives. Les manquements peuvent entraîner des mesures de supervision ainsi que des sanctions administratives ou financières, pouvant aller jusqu’à la mise sous administration externe temporaire de l’établissement. Le catalogue des mesures comprend également la révocation, le remplacement ou la limitation des pouvoirs des membres de la direction générale ou du conseil d’administration, des amendes et une interdiction d’exercer dans le secteur financier des Émirats arabes unis. Cet éventail montre que l’autorité de supervision ne s’adresse pas seulement à l’établissement, mais aussi aux personnes responsables au plus haut niveau. Pour la fonction GRC, cela signifie que les éléments de preuve doivent être documentés non seulement pour le service conformité, mais au regard de la responsabilité personnelle de la direction générale. ## Que cela signifie-t-il structurellement pour une fonction GRC ? Une fonction GRC doit pouvoir démontrer qu’elle connaît ses activités critiques, qu’elle en a cartographié les dépendances et qu’elle teste le rétablissement au lieu de se contenter de documenter les risques. Les tests sont prescrits de manière concrète. Les établissements doivent réaliser des tests de résistance périodiques du risque opérationnel, incluant l’évaluation de l’environnement de contrôle et des tests d’intrusion. Pour les fonctions critiques, l’évaluation périodique doit comprendre un test d’intrusion réalisé par une partie externe indépendante, dont les résultats sont présentés au conseil d’administration. Les plans de continuité d’activité et de reprise après sinistre ne doivent pas seulement être tenus à jour, mais éprouvés selon des scénarios graves mais plausibles. Les établissements financiers doivent en outre mettre en œuvre un dispositif relatif au risque lié aux TIC et au risque cyber couvrant l’identification et l’évaluation des risques, les mesures d’atténuation, la réponse aux incidents et le rétablissement, la gestion du changement, les services de données et de technologie ainsi que la gestion des correctifs. La gestion des incidents doit couvrir l’ensemble du cycle de vie de l’incident, de la détection, la classification et le confinement au rétablissement du service, puis à l’analyse des causes profondes et aux mesures destinées à éviter la récurrence. La fraude interne et externe devient expressément partie intégrante du dispositif de risque opérationnel, et doit donc être identifiée, évaluée, surveillée, déclarée et atténuée plutôt que laissée à la seule sécurité ou conformité. Le lien avec la protection des clients est également nouveau. Lorsque des perturbations opérationnelles conduisent des clients à recevoir des informations matériellement inexactes, par exemple sur des confirmations de paiement, des débits et crédits ou des soldes de comptes, les établissements doivent expliquer clairement en quoi les comptes et les opérations sont affectés. Les établissements répondent des pertes subies par les clients du fait de leurs propres erreurs, conformément aux règles de protection des consommateurs de la Banque centrale. Lorsque des tiers interviennent dans des activités critiques, la gestion des risques tiers exige une gouvernance qui dépasse le simple registre des fournisseurs, comme le décrit également l’article consacré à la gouvernance des risques tiers. ## Comment préparer concrètement ce changement de rôle ? Une première étape vérifiable consiste à faire valider le registre des activités critiques par le comité des risques lors de sa prochaine séance ordinaire et à arrêter pour chaque activité une tolérance de perturbation, c’est-à-dire une durée d’interruption maximale et un niveau d’impact supportable. Sur cette base, il est utile d’établir une cartographie des dépendances réunissant systèmes, données, personnel et prestataires tiers pour chaque activité critique, ainsi que de mener un test des plans de continuité d’activité qui mesure le temps de rétablissement réel au regard de la tolérance arrêtée, plutôt que la documentation. Il est tout aussi utile de parcourir une fois l’intégralité de la chaîne d’escalade, de l’incident détecté à la déclaration en quatre heures puis au rapport succinct sous 24 heures. Les établissements situés hors des Émirats arabes unis ont tout intérêt à appliquer dès à présent la même référence, même en l’absence d’obligation de déclaration immédiate à une autorité de supervision sur place. Tester sa capacité de rétablissement seulement lorsqu’une autorité de supervision le demande, c’est tester trop tard. À lire aussi ### Une résilience démontrable plutôt qu’une simple maîtrise des risques La solution Résilience opérationnelle cartographie les activités critiques, leurs dépendances et les tolérances de perturbation retenues. Elle documente les temps de rétablissement et les résultats des tests de manière traçable. [Résilience opérationnelle](https://swissgrc.com/fr/operational-resilience-software/) En pratique ## Points clés - La référence passe de l’évitement des pertes à la capacité de rétablissement démontrable des activités critiques. - Pour chaque activité critique, une durée d’interruption maximale et un niveau d’impact supportable doivent être définis. - La déclaration est échelonnée : quatre heures pour la notification initiale, 24 heures pour le rapport succinct, 72 heures pour les incidents de gravité élevée. - Les fonctions critiques exigent un test d’intrusion par une partie externe indépendante, dont les résultats sont présentés au conseil d’administration. - La responsabilité s’étend jusqu’à la direction générale et au conseil d’administration, et elle est sanctionnée en conséquence. - La protection des clients devient partie du risque opérationnel : l’établissement répond des pertes causées par ses propres erreurs. FAQ ## Questions fréquentes Depuis quand le nouveau règlement sur la gestion du risque opérationnel de la Banque centrale des Émirats arabes unis est-il en vigueur ? Le règlement n° C 1/2026 a été adopté en février 2026 et est entré en vigueur le 14 septembre 2026. Il remplace intégralement le précédent référentiel de 2018 et s’applique depuis lors directement à l’ensemble des établissements financiers agréés du pays. À quels établissements le règlement n° C 1/2026 s’applique-t-il ? Le règlement n° C 1/2026 s’applique à tous les établissements financiers agréés dotés de la personnalité juridique aux Émirats arabes unis, et non aux seules banques. La Banque centrale peut en outre imposer à tout moment des exigences supplémentaires ou publier d’autres normes et orientations, ce qui laisse le référentiel ouvert à des extensions. Qu’est-ce qu’une tolérance de perturbation et pour quoi doit-elle être fixée ? Pour chaque activité critique, les établissements doivent fixer une tolérance de perturbation clairement définie, composée de la durée maximale acceptable d’une interruption et du niveau d’impact encore supportable. La preuve attendue passe ainsi de l’existence d’un plan de reprise à la capacité de fournir ou de rétablir le service dans des délais et des tolérances définis à l’avance. De combien de temps les établissements disposent-ils pour déclarer un incident opérationnel critique ? La notification initiale à la Banque centrale doit intervenir dans un délai de quatre heures, en identifiant les activités critiques concernées. Dans les 24 heures suit un rapport succinct sur la nature de l’incident, les mesures prises, l’impact potentiel et le délai prévu de retour à la normale ; ce retour à la normale doit lui aussi être déclaré. Pour les incidents de gravité élevée selon les critères de classification propres à l’établissement, un délai supplémentaire de 72 heures s’applique. Quels tests le règlement exige-t-il concrètement ? Il exige des tests de résistance périodiques du risque opérationnel incluant l’évaluation de l’environnement de contrôle, ainsi que des tests d’intrusion. Pour les fonctions critiques, l’évaluation périodique doit comprendre un test d’intrusion réalisé par une partie externe indépendante, dont les résultats sont présentés au conseil d’administration. Les plans de continuité d’activité et de reprise après sinistre doivent être éprouvés selon des scénarios graves mais plausibles. Quelles sont les nouveautés par rapport au précédent référentiel de 2018 ? Les nouveautés portent sur la résilience opérationnelle, l’identification des activités critiques, la cartographie des dépendances, la cybersécurité, la gestion des risques tiers, les tests de résistance et d’intrusion, la déclaration en quatre heures, la gestion du changement, la protection des clients, la gouvernance des données et la publication d’informations. Ces sujets passent du statut de compléments facultatifs à celui de composantes obligatoires que les établissements doivent mettre en œuvre de manière démontrable. Les établissements situés hors des Émirats arabes unis doivent-ils également tenir compte du nouveau règlement ? Le règlement ne crée pas d’obligation de déclaration immédiate auprès d’une autorité de supervision hors des Émirats arabes unis. Il est néanmoins recommandé d’appliquer dès à présent la même référence de capacité de rétablissement démontrable et d’agir de manière proactive, car tester seulement lorsqu’une autorité de supervision le demande intervient trop tard. Sources 1. [UAE overhauls bank risk rules: 4-hour reporting, cyber tests and tougher penalties](https://gulfnews.com/business/banking/uae-overhauls-bank-risk-rules-4-hour-reporting-cyber-tests-and-tougher-penalties-1.500675080)Gulf News 2. [New UAE Central Bank rules target outages, fraud and cyberattacks](https://gulfnews.com/business/banking/new-uae-central-bank-rules-target-outages-fraud-and-cyberattacks-1.500674991)Gulf News 3. [UAE Central Bank targets banking apps and card disruption with tougher risk rules](https://www.arabianbusiness.com/finance/banking/uae-central-bank-targets-banking-apps-and-card-disruption-with-tougher-risk-rules)Arabian Business 4. [UAE Central Bank Law: 2026 Developments and the September 2026 Reconciliation Deadline](https://hadefpartners.com/news-insights/insights/uae-central-bank-law-2026-developments-and-the-september-2026-reconciliation-deadline/)Hadef & Partners 5. [Operational Risk Regulation C 163/2018](https://rulebook.centralbank.ae/en/rulebook/operational-risk-regulation)Banque centrale des Émirats arabes unis, Rulebook 6. [UAE Overhauls Bank Risk Rules With Four-Hour Reporting, Cyber Tests and Tougher Penalties](https://www.dubaistandard.com/uae-overhauls-bank-risk-rules-with-four-hour-reporting-cyber-tests-and-tougher-penalties/)Dubai Standard ## Questions fréquentes ### Depuis quand le règlement sur le risque opérationnel de la Banque centrale des Émirats est-il en vigueur ? Le règlement n° C 1/2026 a été adopté en février 2026 et est entré en vigueur le 14 septembre 2026. Il remplace intégralement la circulaire n° 163/2018. ### Quels établissements sont concernés par le règlement n° C 1/2026 ? Le règlement s’applique à tous les établissements financiers agréés dotés de la personnalité juridique, et non aux seules banques. La Banque centrale peut imposer des exigences supplémentaires ou publier d’autres normes et orientations. ### Qu’est-ce qu’une tolérance de perturbation ? C’est une limite définie pour chaque activité critique, composée de la durée maximale acceptable d’une interruption et du niveau d’impact encore supportable. La preuve attendue porte sur la capacité à rétablir le service dans ces limites. ### Quel est le délai de déclaration d’un incident opérationnel grave aux Émirats ? L’établissement informe la Banque centrale dans un délai de quatre heures et identifie les activités concernées. Un rapport succinct suit sous 24 heures, et une déclaration supplémentaire s’impose sous 72 heures pour les incidents de gravité élevée. ### Quels tests le règlement exige-t-il ? Il exige des tests de résistance périodiques et des tests d’intrusion. Les plans de continuité et de reprise après sinistre doivent être éprouvés selon des scénarios graves mais plausibles.