Externalisation et cloud des banques allemandes

L'article 25b du Kreditwesengesetz constitue la disposition allemande sur l'externalisation. Un établissement externalisant des activités et processus reste responsable de ses obligations légales, doit convenir des droits et obligations nécessaires et ne peut externaliser au point de rendre impossible sa bonne gestion ou sa surveillance.

En complément, l'article 24(1), numéro 19 KWG impose de notifier et documenter les accords d'externalisation. L'établissement tient un registre d'externalisation, distinct du registre d'informations DORA: il repose sur l'importance des activités externalisées, tandis que le registre DORA couvre tous les contrats de services TIC selon un modèle de données européen fixe. Une banque allemande tient donc simultanément ces deux registres aux périmètres distincts.

Le module d'externalisation AT 9 de MaRisk transforme l'obligation légale en processus. Son étape centrale est l'analyse des risques déterminant si une externalisation est importante, menée avec les unités concernées avant la conclusion de l'accord et réexaminée lorsque les circonstances évoluent.

Une externalisation importante nécessite les clauses contractuelles prévues par MaRisk, son intégration à la gestion des risques et au périmètre d'audit interne, un scénario de sortie et un responsable désigné avec une fonction centrale. Cette évaluation est aussi le premier document lu par BaFin; une analyse concluant à une faible importance sans préciser ce qui changerait cette conclusion est donc souvent mise à l'épreuve.

Les orientations EBA sur l'externalisation, EBA/GL/2019/02, s'appliquent depuis le 30 septembre 2019 aux établissements de crédit, entreprises d'investissement, établissements de paiement et de monnaie électronique. Elles fixent les attentes de gouvernance: surveillance de l'externalisation par le conseil, registre plus détaillé pour les fonctions critiques ou importantes, diligence précontractuelle, clauses avec objectifs quantitatifs et qualitatifs, droits complets d'audit et d'accès, et plans de sortie documentés.

DORA a ensuite retiré les services TIC de ce cadre. Pour un service TIC, le contenu contractuel et la gestion des risques des tiers relèvent des articles 28 à 30 de DORA, traités dans Gestion des risques des tiers TIC. Les orientations EBA continuent de régir les externalisations hors services TIC; une banque externalisant l'administration du crédit les applique, tandis qu'une banque achetant une plateforme cloud applique DORA.

Une exigence EBA sans seuil numérique détermine pourtant l'issue de certains cas: un établissement ne peut externaliser au point de devenir une coquille vide dépourvue de la substance nécessaire au maintien de son agrément. Le test examine s'il conserve les effectifs, connaissances et systèmes permettant de diriger le prestataire, d'évaluer ses résultats et de reprendre l'activité.

Ce test compte lorsqu'un petit établissement externalise son core banking, ses paiements et ses opérations informatiques auprès du même groupe de prestataires, en gardant deux personnes pour les gérer. Chaque contrat peut passer son propre examen alors que l'entreprise ne se dirige plus elle-même, situation globale que le superviseur évalue.

BaFin veut être informée des externalisations importantes et, à l'avance, de l'intention d'externaliser une fonction critique ou importante. Les notifications passent électroniquement par sa plateforme déclarative MVP, selon la procédure de notification des externalisations, distincte du dépôt annuel du registre d'informations.

Les entreprises confondent ces deux circuits et soumettent une déclaration au lieu des deux. Le registre d'informations constitue une collecte annuelle de données sur tous les contrats TIC; la notification d'externalisation est une déclaration événementielle concernant un accord précis. Omettre la seconde est le manquement le plus visible, découvert lorsque le superviseur apprend l'existence d'un accord dans le registre et non auprès de l'établissement.

Le cloud du secteur repose sur quelques prestataires, ce que les superviseurs traitent comme une question de stabilité financière plutôt que d'achats. Le Comité européen du risque systémique a analysé le risque cyber systémique, notamment la dépendance envers un nombre limité de prestataires; la désignation des prestataires tiers critiques de services TIC sous DORA répond réglementairement au même constat.

Pour une banque, la conséquence pratique concerne la possibilité de remplacer le prestataire. Un fournisseur utilisé par tout le secteur n'est pas plus fiable parce qu'il est populaire, et un plan de sortie vers le seul autre hyperscaler ne réduit aucunement la concentration sectorielle. Comprendre le cloud computing traite les aspects techniques de cette question.

Les établissements allemands demandent une attestation C5 à leurs prestataires cloud. Le Cloud Computing Compliance Criteria Catalogue, publié par l'Office fédéral de la sécurité des technologies de l'information, définit les critères d'audit du prestataire par un auditeur indépendant, dont le résultat prend la forme d'un rapport d'attestation.

Une attestation C5 peut raccourcir la diligence, sans pouvoir la remplacer. C5 couvre les contrôles du prestataire et inclut des paramètres d'environnement précisant ce qu'il ne fait pas; la banque doit donc évaluer les contrôles qui lui incombent dans le partage des responsabilités. Accepter un rapport C5 sans lire ces paramètres laisse une lacune dans le contrôle propre à la banque.

Confier des activités à une société mère, une filiale ou un centre de services partagés du même groupe constitue une externalisation. Les orientations EBA l'incluent dans leur périmètre et attendent des conditions de pleine concurrence, tandis que MaRisk exige la même analyse des risques que pour un prestataire externe.

Les entreprises la traitent comme interne et omettent des étapes, d'où des constats récurrents: absence d'accord écrit, de niveaux de service et de scénario de sortie parce que personne n'imagine quitter le groupe, et droits d'audit non documentés parce que l'auditeur est dans le même bâtiment. Pour le superviseur, une entité du groupe peut défaillir ou être vendue, et le contrat doit fonctionner dans ce cas.

L'article 25b KWG exige qu'un établissement externalisant des activités et processus reste responsable de ses obligations légales, convienne des droits et pouvoirs d'instruction nécessaires et n'externalise pas au point de compromettre sa bonne gestion ou la surveillance de BaFin. Les modalités opérationnelles relèvent du module AT 9 d'externalisation de MaRisk, tandis que l'obligation de notification et de documentation découle de l'article 24(1), numéro 19 KWG.

Oui, pour les externalisations qui ne constituent pas un service TIC. DORA régit les risques des tiers TIC; pour une plateforme cloud ou un service logiciel, le contenu contractuel et la gestion des risques découlent de ses articles 28 à 30. Les orientations EBA régissent encore les autres externalisations, et le droit allemand, article 25b KWG et MaRisk AT 9, s'applique en complément des deux. Une banque classe donc chaque fournisseur avant de choisir les règles applicables.

Une externalisation est importante lorsque l'analyse des risques de l'établissement conclut qu'une défaillance ou insuffisance de l'activité externalisée nuirait sensiblement à ses activités, au respect de ses obligations réglementaires ou à sa situation de risque. MaRisk AT 9 ne fixe aucune liste, d'où l'importance de l'analyse documentée, menée avant le contrat et répétée lorsque le service ou le prestataire change. La réponse détermine les clauses contractuelles, le périmètre d'audit et la nécessité de notifier BaFin.

Un service cloud ne constitue pas automatiquement une externalisation pour l'établissement. La question est de savoir si le prestataire exécute des activités et processus que celui-ci réaliserait autrement lui-même. L'infrastructure d'un système exploité par la banque, un logiciel exécutant un processus réglementé et un outil d'analyse utilisé par une seule équipe se situent différemment sur cette ligne. Cette classification compte moins qu'autrefois, car un service TIC hors externalisation relève néanmoins du régime des risques des tiers de DORA et figure dans le registre d'informations.