Un cadre LAAPD que votre FSP peut appliquer, tester et montrer à la Banque du Canada

L'enregistrement des FSP auprès de la Banque a ouvert le 1er novembre 2024 ; les exigences relatives au cadre s'appliquent depuis le 8 septembre 2025.

Les éléments obligatoires du cadre

L'article 5 du Règlement les énumère :

• des objectifs d'intégrité, de confidentialité et de disponibilité, avec des cibles de fiabilité mesurables ;
• les ressources et compétences nécessaires ;
• les rôles, dont un dirigeant chargé de superviser le respect des articles 6 à 10 ;
• les sources de risque : cybersécurité, fraude, tiers, changement, continuité ;
• les contrôles, la surveillance continue et les plans d'incident.

Chaque élément est proportionné aux répercussions qu'une perturbation pourrait avoir sur les utilisateurs finaux et les autres participants (par. 5(2)).

Le Règlement fixe le rythme après l'approbation :

• Approbation. Le dirigeant désigné, et le conseil d'administration s'il y en a un, approuvent le cadre au moins une fois par an et après chaque changement important (par. 5(6)).
• Examen. Chaque année et avant tout changement important, avec constats consignés et remis au dirigeant (art. 8).
• Mises à l'essai. Méthode, fréquence et portée fixées par le FSP, essais avant les changements importants, dossiers conservés (art. 9).

Choisir les cibles de fiabilité

La Banque attend des objectifs de disponibilité adaptés au modèle d'affaires, plus exigeants pour les FSP interconnectés. Nous retenons des indicateurs réellement mesurables.

Le contenu de chaque avis

• À la Banque (art. 11 du Règlement) : par le système électronique de la Banque, avec une personne-ressource, la description de l'incident, ses répercussions importantes et les mesures prises. Un avis final suit lorsque la cause et l'impact sont connus.
• Aux utilisateurs finaux et autres participants (art. 12) : directement ou sur le site Web du FSP, avec les mesures que chacun peut prendre.

Le plan de réponse aux incidents (al. 5(1)i)) attribue d'avance qui escalade, enquête, limite les dommages et informe chaque partie. Si des renseignements personnels sont en cause, les règles de la LPRPDE sur les atteintes s'appliquent en parallèle ; nous traitons ce cas sur notre page réponse aux incidents.

Fournisseurs et mandataires

Hébergement infonuagique, traitement, vérification d'identité et soutien impartis entrent dans le cycle ; les mandataires sont évalués chaque année (par. 5(4)).

Qui peut mener l'examen indépendant

Selon la ligne directrice de la Banque, l'exigence vise les FSP qui recourent régulièrement à un vérificateur interne ou externe. L'examinateur, employé ou externe, doit être compétent et étranger à la conception comme à l'exploitation du cadre. Un autre audit compte si le FSP démontre par écrit que sa portée couvre le Règlement.

Si nous avons bâti votre cadre, une autre partie l'examine ; nous préparons le dossier de preuves.

1. Carte des activités. Vos fonctions de paiement au sens de l'article 2 de la Loi, vos systèmes, fournisseurs et mandataires.
2. Analyse des écarts. Face aux articles 5 à 10 et à la ligne directrice.
3. Documents. Cadre, cibles de fiabilité, plan d'incident, registre des tiers, méthode d'essai, calendrier d'examen.
4. Correctifs. Accès, authentification multifacteur, sauvegardes avec restauration testée, journalisation, au besoin sur place via itopsi.com, la marque informatique du groupe.
5. Exercice sur table du plan d'incident avec vos intervenants.

L'enregistrement et les licences relèvent de notre pratique licences.