SYSC 15A pour EME et établissements de paiement : une résilience démontrable

Les règles et lignes directrices de la FCA sur la résilience opérationnelle sont entrées en vigueur le 31 mars 2022. Les entreprises avaient jusqu'au 31 mars 2025 pour achever cartographie et tests et rester dans les tolérances d'impact de chaque service important. C'est aujourd'hui une exigence de supervision ordinaire.

Pour un EME en cours d'agrément, la question surgit dès la demande. Notre équipe licence EME au Royaume-Uni mène la demande et le dialogue avec le régulateur, et nous couvrons le volet informatique et opérationnel.

Pour une société de paiement, les candidats typiques sont l'acceptation et l'exécution des paiements, l'émission et le remboursement de monnaie électronique, et l'accès des clients à leurs comptes. Le choix revient à l'entreprise. Pour fixer une tolérance, les lignes directrices de la FCA (SYSC 15A.2.7G) citent notamment le nombre de clients touchés, la nature de l'impact et la perte de fonctionnalité ou d'accès.

Cartographie

SYSC 15A.4.1R impose de documenter tout ce qui est nécessaire pour fournir chaque service : en pratique, la banque de cantonnement des fonds, le processeur, le cloud, le prestataire KYC et le personnel clé. Nous la bâtissons à partir de vos contrats et schémas réels et repérons les points de défaillance uniques.

Les lignes directrices de la FCA (SYSC 15A.5.6G) listent les scénarios à envisager : corruption, suppression ou manipulation de données critiques ; perte de locaux ou de personnes clés ; défaillance de prestataires tiers ; perturbation d'autres acteurs du marché ; perte de la technologie dont dépend le service.

Fréquence des tests

Selon SYSC 15A.5.7R, les tests sont refaits après un changement significatif de l'activité, des services ou des tolérances, après les améliorations faisant suite à un test, et en tout état de cause régulièrement. Nous écrivons les scénarios à partir de votre cartographie, animons des exercices sur table avec votre équipe et consignons les résultats sous une forme jointe à l'autoévaluation.

L'autoévaluation rassemble le travail en un document : liste des services importants et justification, tolérances, cartographie, plan et résultats des tests, enseignements et plan d'amélioration. S'y ajoute la stratégie de communication interne et externe en cas de perturbation (SYSC 15A.8).

L'évaluation des risques de la regulation 98

En marge de SYSC 15A, tout prestataire de services de paiement transmet à la FCA, au moins une fois par an, une évaluation à jour des risques opérationnels et de sécurité et de l'adéquation de ses contrôles, au titre de la regulation 98 des Payment Services Regulations 2017. Nous construisons les deux sur une même base pour qu'ils concordent.

Les règles de déclaration des incidents opérationnels couvrent les prestataires de services de paiement. La cartographie construite pour SYSC 15A devient la base du registre des accords significatifs : mieux vaut préparer les deux ensemble.

Notre méthode

1. Une consultation payante de 30 minutes et une lettre de cadrage : services, systèmes, dates, prix forfaitaire.
2. État des lieux avec un rapport d'écarts en langage clair.
3. Cartographie, tolérances, scénarios avec votre équipe ; une personne vérifie chaque constat.
4. Autoévaluation et pièces justificatives pour approbation du conseil.
5. Revérification après les améliorations.