Préparer un établissement agréé au contrôle informatique de son régulateur

• DORA. L'entité financière fournit, à la demande de l'autorité compétente, des informations complètes et à jour sur le risque lié aux TIC et sur son cadre de gestion (art. 6(3)), le rapport de réexamen annuel de ce cadre (art. 6(5)) et le registre complet des contrats de services TIC (art. 28(3)).
• FCA, SYSC 15A. L'entreprise tient une auto-évaluation écrite de sa résilience opérationnelle, conserve chaque version au moins six ans et la remet à la FCA sur demande (SYSC 15A.6.1R, 15A.6.2R).
• VARA, Technology and Information Rulebook. Les preuves des tests et audits sont documentées et mises immédiatement à la disposition de la VARA pour inspection (règle I.E.3).

UE : DORA

S'applique depuis le 17 janvier 2025 aux établissements de paiement, aux établissements de monnaie électronique et aux prestataires de services sur crypto-actifs agréés au titre de MiCA (art. 2(1), art. 64). Le cadre de gestion du risque lié aux TIC est documenté et réexaminé au moins une fois par an (art. 6(5)).

Royaume-Uni : résilience opérationnelle FCA

Le chapitre SYSC 15A couvre les établissements de monnaie électronique, les établissements de paiement et les prestataires enregistrés de services d'information sur les comptes (SYSC 15A.1.1R(3)). Les entreprises avaient jusqu'au 31 mars 2025 pour pouvoir assurer leurs services essentiels dans leurs seuils de tolérance d'impact. La FCA publie les questionnaires d'auto-évaluation CQUEST et ORQUEST.

Singapour : conformité MAS TRM

Les lignes directrices de la MAS sur le risque technologique (18 janvier 2021) visent tous les secteurs agréés, paiements compris. La notice FSM-N13, en vigueur pour les prestataires de jetons de paiement numériques depuis le 6 novembre 2024, fixe des chiffres : notification à la MAS sous 1 heure après la découverte d'un incident significatif, rapport sur la cause première sous 14 jours, rétablissement de chaque système critique en 4 heures au plus, au plus 4 heures d'indisponibilité non planifiée par système critique sur 12 mois.

Dubaï : règlement technologique VARA

Le PSAV désigne un CISO (règle I.I.1), fait appel à un tiers indépendant qualifié pour les évaluations de vulnérabilités et les tests d'intrusion (règle I.E.1) et fait l'objet d'audits indépendants réguliers (règle I.E.4).

Canada : RPAA

Le fournisseur de services de paiement enregistré auprès de la Banque du Canada tient un cadre de gestion des risques et d'intervention (art. 17(1)) et avise sans délai les personnes touchées et la Banque d'un incident à incidence importante (art. 18(1)), avec des cadres en place depuis le 8 septembre 2025. Au Canada, le volet technique passe par la marque informatique du groupe, itopsi.com.

1. Carte des règles. Nous listons les exigences applicables à votre agrément et les documents qui en découlent.
2. Lettre de cadrage (scope letter). Elle fixe les entités, les systèmes, le délai et un prix forfaitaire. Rien n'est examiné avant signature.
3. Confrontation au réel. Documents comparés aux réglages : accès, journaux, sauvegardes et restaurations, contrats fournisseurs, incidents. Chaque constat est vérifié par une personne.
4. Remédiation. Corrections rapides par nos soins ou avec votre prestataire ; un responsable et une date pour le reste.
5. Le dossier. Classé par numéro de règle, avec une note courte pour la direction par domaine.
6. Répétition. Les questions habituelles des inspecteurs, revues avec les personnes désignées.

Les délais de notification divergent le plus : DORA demande une notification initiale dans les 4 heures suivant la classification d'un incident comme majeur et au plus tard 24 heures après en avoir eu connaissance, la MAS 1 heure après la découverte, le RPAA sans délai. Une procédure d'incident unique avec un tableau par régime tient ces délais.

Les agréments et la structure du groupe relèvent de notre pratique agréments.