DE
EN
IT
العربية
Une panne technologique est désormais un événement réglementaire. La défaillance d’un tiers est désormais une défaillance de gouvernance. L’orientation réglementaire européenne pour 2026 est sans ambiguïté : la résilience opérationnelle ne peut plus être considérée comme le problème d’un autre.
Les autorités européennes de surveillance (AES) ont envoyé un message clair avec leur programme de travail 2026 : les établissements financiers entrent dans une nouvelle ère de gouvernance, dans laquelle la résilience opérationnelle numérique, la supervision des TIC, la gestion des incidents et la responsabilité des dirigeants ne sont plus des préoccupations périphériques, mais des priorités réglementaires centrales.
Ce changement ne se résume pas à un empilement de nouvelles réglementations. Il traduit une transformation plus profonde de la manière dont les autorités de supervision appréhendent le risque opérationnel au sein d’un écosystème financier numériquement interconnecté. Et pour les organisations qui pilotent encore leur gouvernance en silos, l’ajustement sera considérable.
Des domaines fragmentés à une gouvernance intégrée
Pendant des années, les organisations ont traité la cybersécurité, le risque lié aux tiers, la conformité, la résilience opérationnelle et la continuité d’activité comme des disciplines distinctes, pilotées par des équipes différentes, à l’aide de systèmes non reliés entre eux, avec des structures de reporting fragmentées et des modèles de surveillance cloisonnés.
La transformation numérique a modifié en profondeur la nature même du risque. Une panne technologique peut devenir un événement réglementaire du jour au lendemain. La défaillance d’un tiers peut se propager à de multiples fonctions de l’entreprise. Un incident cyber peut rapidement dégénérer en atteinte à la réputation et en instabilité financière.
TSB Bank : une défaillance de gouvernance, et pas seulement une défaillance informatique. Les autorités de supervision britanniques ont infligé à TSB une amende de 48,65 millions de livres sterling à la suite de l’échec d’une migration informatique majeure, qui s’est transformé en une rupture complète de la résilience opérationnelle, avec des conséquences pour les clients, la continuité d’activité et la confiance des autorités. Cette affaire a créé un précédent : les incidents technologiques sont désormais appréciés comme des événements de gouvernance.
Source : Financial Conduct Authority (FCA)
DORA redéfinit les attentes en matière de gouvernance
Au cœur du programme de travail 2026 des AES figure la poursuite de la mise en œuvre opérationnelle du règlement sur la résilience opérationnelle numérique (DORA). Les autorités de supervision ne se concentrent plus sur la préparation théorique des organisations à la conformité à DORA : elles s’orientent activement vers la supervision, le contrôle, l’analyse des incidents, les tests de résilience et la mise en application des règles.
| Domaine de gouvernance | Attente antérieure | Attente à l’ère DORA |
|---|---|---|
| Risque TIC | Auto-évaluation interne | Surveillance prudentielle avec contrôles démontrables |
| Risque lié aux tiers | Diligence contractuelle | Surveillance continue et visibilité réglementaire |
| Notification des incidents | Enregistrement interne | Notification structurée dans des délais réglementaires stricts |
| Tests de résilience | Tests périodiques et cloisonnés | Référentiels TLPT formels avec coordination entre entités |
| Responsabilité | Responsabilité de la direction informatique | Gouvernance au niveau de la direction générale et responsabilité personnelle |
À bien des égards, DORA fait passer la gouvernance d’une activité dictée par la conformité à une discipline opérationnelle continue. Pour une vision plus large des liens avec la pratique GRC au quotidien, voir notre article Quand la GRC a cessé d’être périodique pour devenir un travail quotidien.
L’essor de la gouvernance continue
Les modèles de gouvernance traditionnels ont été conçus pour des environnements opérationnels évoluant plus lentement. Audits périodiques, revues annuelles des risques, contrôles statiques et structures de reporting fragmentées ne suffisent plus lorsque les opérations numériques évoluent en continu. Les priorités des AES pour 2026 traduisent directement cette réalité : il est désormais attendu des organisations qu’elles démontrent six capacités de gouvernance interconnectées :
Visibilité à l’échelle de l’entreprise
Une vision complète et actualisée des risques opérationnels dans l’ensemble de l’organisation
Surveillance des tiers
Un suivi continu des dépendances à l’égard des prestataires TIC et fournisseurs externes
Réponse aux incidents
Des capacités structurées et testées, et non de simples procédures documentées restées sur une étagère
Tests de résilience
Des dispositifs TLPT formalisés, avec des résultats étayés par des preuves et une coordination entre entités
Reporting réglementaire
Un reporting exact et en temps voulu des incidents et des risques aux autorités de supervision
Responsabilité des dirigeants
Une responsabilité de gouvernance démontrable au niveau de la direction générale et du conseil d’administration
La gouvernance n’opère plus discrètement en arrière-plan comme une fonction de conformité. Elle devient une capacité stratégique de l’entreprise, directement liée à la confiance opérationnelle, à la confiance des clients et à la résilience de long terme.
Pourquoi une GRC intégrée devient indispensable
À mesure que les attentes réglementaires évoluent, les organisations se heurtent à une réalité difficile : une gouvernance fragmentée crée des angles morts dangereux. Des systèmes déconnectés rendent difficile l’identification des risques émergents, la coordination des réponses, la gestion efficace des incidents ou le maintien d’une visibilité à l’échelle de l’entreprise sur la conformité, la résilience opérationnelle, la cybersécurité et la surveillance des tiers.
Une plateforme GRC intégrée comble ces lacunes en réunissant ce qui est aujourd’hui généralement dispersé entre plusieurs équipes et outils :
- Gestion des risques opérationnels
- Gestion de la conformité
- Sécurité de l’information (SMSI)
- Contrôles internes
- Gestion de la continuité d’activité
- Gestion des audits
- Gestion des risques tiers
- Déclaration et suivi des incidents
Au lieu de s’appuyer sur des tableurs isolés et un reporting fragmenté, les organisations disposent d’une visibilité centralisée, de workflows de gouvernance structurés, d’une documentation prête pour l’audit et d’une surveillance continue, simultanément sur l’ensemble des domaines critiques de risque et de conformité.
La gouvernance définira la prochaine génération d’établissements financiers
L’orientation réglementaire qui se dessine en Europe traduit une transformation bien plus vaste à l’échelle mondiale. L’avenir des services financiers ne se jouera pas uniquement sur la vitesse d’innovation, l’adoption de l’IA ou les initiatives de transformation numérique.
Il se jouera de plus en plus sur la capacité des organisations à gouverner la complexité, en reliant le renseignement sur les risques, la supervision opérationnelle, la responsabilité des tiers et celle des dirigeants en un ensemble cohérent et continu. Comme nous l’analysons dans notre article consacré aux situations où le travail de sécurité existe mais pas la confiance en matière de sécurité, c’est précisément cet écart entre l’effort fourni et l’assurance obtenue que les référentiels de gouvernance doivent combler.
Si votre organisation évalue son niveau de préparation au titre de DORA ou des attentes plus larges des autorités européennes de supervision, notre équipe se tient à votre disposition pour un Discovery Call afin d’examiner comment une approche GRC intégrée peut soutenir la transformation de votre gouvernance.
