⦁ Première partie : Comprendre le concept de perturbation selon le régulateur
⦁ Qu’est-ce qu’une perturbation selon le régulateur ?
Dans les textes réglementaires, une perturbation est définie comme un événement qui affecte la capacité d’une organisation à fournir ses services essentiels ou à maintenir la continuité de ses opérations. Contrairement au risque, qui désigne une probabilité d’occurrence combinée à une gravité potentielle, une perturbation est un événement concret, avec des conséquences immédiates ou différées.
⦁ Distinction entre “perturbation” et “risque” :
• Risque : Une condition ou un ensemble de facteurs susceptibles de provoquer une perturbation.
• Exemple : La vulnérabilité d’un système face à un ransomware est un risque.
• Perturbation : La manifestation du risque en un événement impactant les opérations.
• Exemple : L’attaque WannaCry est une perturbation.
Les perturbations peuvent être internes (pannes, erreurs humaines) ou externes (attaques cybernétiques, catastrophes naturelles).
⦁ 2. Textes de référence abordant la notion de perturbation
a) DORA (2022)
Le règlement DORA utilise la notion de perturbation principalement dans le cadre des obligations de résilience opérationnelle numérique. Il exige des entités financières de se préparer et de répondre efficacement à ces événements.
• Définition dans DORA :
DORA ne définit pas directement le terme “perturbation”, mais il l’implique dans plusieurs articles, notamment :
• Article 3 : Les entités doivent s’assurer de la continuité de leurs services même en cas de perturbations technologiques ou cybernétiques.
• Article 11 : Préparation obligatoire face à des perturbations majeures (tests de stress, plans de réponse).
• Extrait clé :
« Les entités financières doivent développer des mécanismes permettant d’anticiper, d’absorber et de se remettre des perturbations impactant leurs capacités technologiques et opérationnelles. »
• Source : Texte DORA complet.
b) Directive NIS2 (2022)
La directive NIS2 élargit le concept de perturbation à tous les secteurs essentiels, y compris les institutions financières, en insistant sur la sécurité des réseaux et systèmes d’information.
• Définition pertinente :
Selon NIS2 (article 6, point 1), une perturbation est un événement affectant :
1. La disponibilité des réseaux et systèmes d’information.
2. La sécurité des données traitées ou transmises.
• Extrait clé :
« Les opérateurs doivent garantir une résilience face aux perturbations compromettant la continuité de leurs services essentiels. »
• Source : Directive NIS2.
c) Publications d’ENISA
ENISA aborde largement les perturbations numériques dans ses rapports sur les cybermenaces et la résilience opérationnelle.
• Rapports pertinents :
• Threat Landscape Report (2022) : Identifie les perturbations causées par les attaques DDoS, ransomware, et intrusions.
• Guidelines on Resilience of Critical Infrastructures : Focalisé sur les perturbations affectant les infrastructures essentielles.
• Extrait clé :
« Une perturbation numérique est un événement affectant directement la capacité d’un système ou d’un réseau à fonctionner de manière optimale. »
• Source : ENISA Threat Landscape Reports.
d) Contributions des NCA et organisations internationales
Banque de France (France) :
• Dans ses Directives sur la cyber-résilience (2021), la Banque de France insiste sur la nécessité de s’adapter face aux perturbations causées par les risques cyber et TIC.
• Extrait clé :
« Une perturbation correspond à tout événement ayant un impact significatif sur la continuité des opérations ou la sécurité des systèmes. »
• Source : Directives de la Banque de France.
Financial Conduct Authority (FCA, Royaume-Uni) :
• La FCA, dans son cadre de Operational Resilience Rules (2021), définit les perturbations comme des événements ayant un impact significatif sur les services critiques.
• Extrait clé :
« Les entreprises doivent identifier les perturbations potentielles et développer des mécanismes pour y répondre rapidement. »
• Source : FCA Operational Resilience Rules.
FSB (Financial Stability Board) :
• Le FSB identifie les perturbations cybernétiques comme l’une des plus grandes menaces pour la stabilité financière mondiale dans son rapport Cyber Resilience Guidance (2018).
• Extrait clé :
« Une perturbation cybernétique peut rapidement évoluer en une crise systémique si elle n’est pas maîtrisée efficacement. »
• Source : FSB Cyber Resilience Guidance.
- Citations des définitions et utilisations clés
Voici un résumé des définitions ou usages de la notion de perturbation :
• DORA : Perturbation liée aux technologies ou aux systèmes opérationnels.
• NIS2 : Perturbation impactant la continuité ou la sécurité des réseaux et systèmes.
• ENISA : Perturbation numérique comme événement affectant directement les systèmes essentiels.
• NCA : Approches nationales définissant les perturbations comme des événements critiques menaçant les services ou la sécurité.
⦁ Extension : La notion de perturbation dans les textes sur la résilience financière
En élargissant l’analyse, les régulateurs financiers ont souvent abordé les perturbations financières systémiques comme des déclencheurs pour renforcer les cadres de résilience financière. Ces textes, bien qu’axés initialement sur des crises économiques ou des événements macroéconomiques, évoquent également des perturbations opérationnelles.
- Directive Solvabilité II (2009)
• Contexte :
La directive Solvabilité II encadre la gestion des risques pour les compagnies d’assurance et réassurance, en insistant sur leur capacité à absorber des perturbations économiques, naturelles ou opérationnelles.
• Perturbations mentionnées :
• Articles relatifs aux scénarios de stress test et d’événements extrêmes.
• Définition implicite des perturbations comme des événements impactant la solvabilité et la continuité opérationnelle.
• Extrait clé :
« Les entreprises doivent intégrer dans leur gouvernance des scénarios permettant d’évaluer l’impact d’événements extrêmes ou de perturbations significatives. »
• Source : Directive 2009/138/CE – Solvabilité II. - Règlement CRR (2013)
• Contexte :
Le règlement CRR (Capital Requirements Regulation) impose des exigences de fonds propres pour les banques, en intégrant les impacts possibles des perturbations opérationnelles ou économiques sur leur solidité financière.
• Perturbations mentionnées :
• Perturbations liées aux risques opérationnels (pannes, erreurs humaines, etc.).
• Perturbations systémiques, comme les crises de liquidité ou les fluctuations macroéconomiques.
• Extrait clé :
« Les établissements doivent disposer de plans pour gérer des perturbations impactant leur capacité à fonctionner de manière continue, notamment dans des scénarios de stress extrême. »
• Source : Règlement (UE) n° 575/2013 – CRR. - MiFID II (2014)
• Contexte :
La directive MiFID II, axée sur les entreprises d’investissement, inclut des obligations de gestion des risques, y compris ceux liés aux perturbations des marchés ou des infrastructures technologiques.
• Perturbations mentionnées :
• Défaillances des infrastructures de trading.
• Chocs de marché provoqués par des événements externes ou internes.
• Extrait clé :
« Les entreprises doivent s’assurer que leurs systèmes technologiques et organisationnels sont en mesure de faire face à des perturbations susceptibles d’affecter l’intégrité des marchés financiers. »
• Source : Directive 2014/65/UE – MiFID II. - EMIR (2012) et CSDR (2014)
• Contexte :
Les règlements EMIR (European Market Infrastructure Regulation) et CSDR (Central Securities Depositories Regulation) encadrent les infrastructures de marché financier, notamment les CCP (contreparties centrales) et les dépositaires centraux.
• Perturbations mentionnées :
• Incidents liés à la continuité des infrastructures de marché.
• Effets domino provoqués par des perturbations systémiques.
• Extrait clé :
« Les infrastructures doivent disposer de mécanismes de sauvegarde et de redondance pour assurer leur continuité même en cas de perturbations majeures. »
• Sources :
• Règlement EMIR (UE) n° 648/2012.
• Règlement CSDR (UE) n° 909/2014. - BRRD (2014) : Résolution et redressement
• Contexte :
La directive BRRD (Bank Recovery and Resolution Directive) impose aux banques de disposer de plans de redressement et de résolution pour minimiser les impacts des perturbations systémiques ou opérationnelles.
• Perturbations mentionnées :
• Perturbations systémiques affectant la solvabilité ou la liquidité des banques.
• Perturbations opérationnelles susceptibles d’entraîner des effets de contagion dans le système financier.
• Extrait clé :
« Les plans de redressement doivent inclure des scénarios de perturbations graves, qu’elles soient économiques, opérationnelles ou technologiques. »
• Source : Directive (UE) 2014/59 – BRRD.
Conclusion intermédiaire :
Les régulateurs financiers, dans des textes comme Solvabilité II, CRR, MiFID II, EMIR, et BRRD, ont largement intégré la notion de perturbation dans leurs cadres de résilience financière. Ces textes, bien que principalement axés sur des perturbations économiques ou opérationnelles, montrent une continuité avec DORA en visant à minimiser les impacts des événements disruptifs sur la stabilité financière globale.
⦁ Exemples détaillés de perturbations technologiques et cybernétiques
Introduction : Pourquoi ces exemples ?
Les perturbations numériques, qu’elles soient technologiques ou cybernétiques, sont devenues des réalités incontournables pour les institutions financières. Les exemples choisis ici (Kerviel, AWS, WannaCry, SolarWinds) illustrent différents types de perturbations ayant marqué l’histoire récente. Ils permettent de comprendre :
1. Les causes profondes : Défaillances internes, cyberattaques, ou dépendances excessives.
2. Les impacts : Sur les opérations, la confiance des clients et les coûts pour les institutions.
3. Les leçons : Comment mieux se préparer et répondre à ces crises grâce à la résilience numérique.
⦁ Perturbations technologiques : Quand l’infrastructure ou les processus internes échouent
- Le cas Kerviel (2008) – Un avertissement sur les contrôles internes
Pourquoi cet exemple ?
Le cas Kerviel, souvent présenté comme une “affaire de fraude”, révèle en réalité des failles majeures dans les systèmes de contrôle et les processus internes d’une institution. C’est un rappel que la résilience ne concerne pas seulement la technologie, mais aussi les mécanismes humains et organisationnels.
Ce qui s’est passé :
En 2008, Jérôme Kerviel, trader à la Société Générale, a exploité des failles dans les systèmes de contrôle pour effectuer des transactions non autorisées, dissimulant ses pertes jusqu’à un montant total de 4,9 milliards d’euros.
Impact :
• Une perte financière massive, affectant directement la solidité de la banque.
• Une perte de confiance parmi les investisseurs et les clients.
Pourquoi est-ce une perturbation technologique ?
Bien que l’acte soit humain, il a été rendu possible par :
1. L’absence de mécanismes robustes pour détecter et bloquer les transactions frauduleuses.
2. Des failles dans les systèmes technologiques utilisés pour surveiller les activités internes.
Leçon clé :
Les systèmes de contrôle doivent être conçus avec une redondance suffisante et des protocoles clairs pour prévenir les abus internes. Une résilience organisationnelle et technologique est essentielle pour éviter que des erreurs humaines ne dégénèrent en catastrophes.
- La panne AWS (2020) – Quand les tiers échouent
Pourquoi cet exemple ?
La dépendance croissante aux prestataires tiers comme AWS (Amazon Web Services) met en lumière un risque systémique : qu’arrive-t-il lorsqu’un fournisseur critique tombe en panne ?
Ce qui s’est passé :
En 2020, une panne massive chez AWS a rendu inaccessibles de nombreux services numériques, affectant des plateformes bancaires, des systèmes de paiement en ligne et des applications mobiles.
Impact :
• Des interruptions de service, affectant des millions de clients.
• Une perte temporaire de revenus pour les banques dépendant de ces infrastructures.
Pourquoi est-ce une perturbation technologique ?
Ce cas montre que même une infrastructure technologique robuste peut échouer, et que les dépendances aux fournisseurs tiers doivent être mieux gérées.
Leçon clé :
La résilience passe par la diversification et les plans de repli. Les institutions doivent s’assurer qu’elles peuvent continuer à fonctionner même en cas de défaillance d’un fournisseur critique.
- Knight Capital (2012) – Un désastre lié au changement technologique
Pourquoi cet exemple ?
L’incident de Knight Capital est un exemple emblématique des perturbations provoquées par des erreurs dans la gestion des changements technologiques. Il illustre comment un processus mal supervisé peut avoir des répercussions catastrophiques pour une institution financière.
Ce qui s’est passé :
Knight Capital, une société de trading américaine, a introduit un nouveau logiciel de trading algorithmique pour s’adapter aux évolutions du marché. Cependant, une erreur dans le déploiement du logiciel a entraîné des ordres de transaction incorrects, provoquant des perturbations massives sur les marchés financiers.
Impact :
• En 45 minutes, Knight Capital a accumulé une perte de 440 millions de dollars en raison de transactions erronées.
• L’incident a non seulement perturbé les marchés, mais a également conduit à la quasi-faillite de l’entreprise, qui a dû être rachetée.
• Perte de confiance dans la fiabilité des systèmes automatisés pour le trading.
Pourquoi est-ce une perturbation technologique ?
Ce cas est directement lié à un problème de change management :
1. L’absence de tests rigoureux avant le déploiement en production.
2. Une supervision insuffisante des processus de mise à jour technologique.
Leçon clé :
Les institutions financières doivent intégrer des processus robustes de gestion des changements technologiques, incluant des tests approfondis, des validations progressives et une surveillance en temps réel. La résilience passe également par une coordination étroite entre les équipes techniques et opérationnelles.
Conclusion intermédiaire : Comprendre la complexité des perturbations numériques
Ces trois exemples de perturbations technologiques montrent qu’un problème interne, une dépendance externe ou une mauvaise gestion du changement peut rapidement se transformer en une crise de grande ampleur. Couplées aux menaces cybernétiques, elles soulignent la nécessité d’une résilience numérique adaptée aux réalités modernes.
⦁ Perturbations cybernétiques : Des attaques intentionnelles et globales
- WannaCry (2017) – Le ransomware qui a paralysé le monde
Pourquoi cet exemple ?
WannaCry illustre l’impact d’une attaque cybernétique mondiale, capable de perturber simultanément des milliers d’organisations, y compris des institutions financières.
Ce qui s’est passé :
En mai 2017, le ransomware WannaCry a exploité une vulnérabilité connue dans les systèmes Windows pour infecter plus de 200 000 ordinateurs dans 150 pays. Les pirates ont chiffré les données et exigé une rançon pour les déverrouiller.
Impact :
• Des perturbations majeures dans les opérations de nombreuses organisations.
• Des institutions financières ont dû désactiver temporairement leurs systèmes pour contenir l’infection.
• Des coûts massifs pour restaurer les données et renforcer les systèmes de sécurité.
Pourquoi est-ce une perturbation cybernétique ?
WannaCry était une attaque intentionnelle visant à tirer profit des vulnérabilités technologiques, mettant en lumière le besoin de systèmes de sécurité robustes.
Leçon clé :
Des mises à jour régulières des systèmes et une sensibilisation des employés peuvent empêcher de telles attaques. La résilience passe également par des mécanismes de détection rapide et de confinement.
- SolarWinds (2020) – L’attaque sur la chaîne d’approvisionnement
Pourquoi cet exemple ?
SolarWinds montre comment une attaque sur un fournisseur technologique peut avoir des répercussions sur des milliers d’entreprises, y compris des institutions financières.
Ce qui s’est passé :
Les pirates ont compromis une mise à jour du logiciel de gestion informatique de SolarWinds, permettant un accès non autorisé à de nombreuses organisations. Cela a touché des gouvernements, des entreprises privées et des institutions financières.
Impact :
• Compromission des données sensibles.
• Des semaines, voire des mois, ont été nécessaires pour détecter et contenir l’attaque.
Pourquoi est-ce une perturbation cybernétique ?
L’attaque a révélé la vulnérabilité des chaînes d’approvisionnement technologiques et l’incapacité de nombreux systèmes à détecter des menaces sophistiquées.
Leçon clé :
Les institutions financières doivent non seulement surveiller leurs propres systèmes, mais aussi les tiers et les fournisseurs sur lesquels elles s’appuient.
Conclusion intermédiaire :
Ces perturbations montrent que les institutions financières doivent non seulement anticiper les événements inattendus mais aussi disposer de mécanismes robustes pour limiter leur impact. Qu’elles soient technologiques ou cybernétiques, ces perturbations illustrent la nécessité de la résilience opérationnelle numérique (RON) pour protéger les infrastructures critiques du secteur financier.
Troisième exemple de perturbation technologique, lié au change management, dans le secteur financier
- Knight Capital (2012) – Un désastre lié au changement technologique
Pourquoi cet exemple ?
L’incident de Knight Capital est un exemple emblématique des perturbations provoquées par des erreurs dans la gestion des changements technologiques. Il illustre comment un processus mal supervisé peut avoir des répercussions catastrophiques pour une institution financière.
Ce qui s’est passé :
Knight Capital, une société de trading américaine, a introduit un nouveau logiciel de trading algorithmique pour s’adapter aux évolutions du marché. Cependant, une erreur dans le déploiement du logiciel a entraîné des ordres de transaction incorrects, provoquant des perturbations massives sur les marchés financiers.
Impact :
⦁ En 45 minutes, Knight Capital a accumulé une perte de 440 millions de dollars en raison de transactions erronées.
⦁ L’incident a non seulement perturbé les marchés, mais a également conduit à la quasi-faillite de l’entreprise, qui a dû être rachetée.
⦁ Perte de confiance dans la fiabilité des systèmes automatisés pour le trading.
Pourquoi est-ce une perturbation technologique ?
Ce cas est directement lié à un problème de change management :
⦁ L’absence de tests rigoureux avant le déploiement en production.
⦁ Une supervision insuffisante des processus de mise à jour technologique.
Leçon clé :
Les institutions financières doivent intégrer des processus robustes de gestion des changements technologiques, incluant des tests approfondis, des validations progressives et une surveillance en temps réel. La résilience passe également par une coordination étroite entre les équipes techniques et opérationnelles.
Conclusion intermédiaire : Comprendre la complexité des perturbations numériques
Ces trois exemples de perturbations technologiques montrent qu’un problème interne, une dépendance externe ou une mauvaise gestion du changement peut rapidement se transformer en une crise de grande ampleur. Couplées aux menaces cybernétiques, elles soulignent la nécessité d’une résilience numérique adaptée aux réalités modernes.