- Les cyber-risques restent l’un des risques opérationnels les plus importants ; les établissements doivent surveiller en permanence les menaces et tester leur infrastructure pour détecter les vulnérabilités.
- L’augmentation de l’externalisation accroît la complexité de la chaîne d’approvisionnement et les risques de concentration, en particulier pour les services en nuage, et renforce les dépendances et les risques de cyber-attaque.
- La FINMA exige que les établissements développent des connaissances et des mécanismes de gestion pour les fonctions externalisées ; l’identification et la surveillance des risques d’externalisation sont insuffisantes.
La FINMA publie chaque année un moniteur de risques qui donne un aperçu des risques qu’elle considère actuellement comme particulièrement importants pour les assujettis et de l’orientation de son activité de surveillance.
Cyber-risques
Sur le site Risk Monitor pour l’année 2023 la FINMA fait d’abord rapport sur les cyberrisques (voir aussi le Dossier Cyberrisques de la FINMA). Elle considère toujours les cyberrisques comme l’un des principaux risques opérationnels. Le nombre de déclarations faites à la FINMA à ce sujet (art. 29 al. 2 LFINMA) s’est maintenu au niveau actuel, mais la pression exercée sur les établissements pour qu’ils gardent un œil sur la situation actuelle en matière de menaces, qu’ils réagissent rapidement et qu’ils testent en permanence leur propre infrastructure pour déceler les points faibles, reste forte, notamment en ce qui concerne les exploits zero-day ou les attaques DDoS. Le type d’attaques se répartit comme suit :
Au sein des catégories de surveillance, les annonces en chiffres absolus proviennent surtout des grands établissements. Toutefois, les petits établissements sont plus souvent attaqués, et les compagnies d’assurance (environ 30%) et les gestionnaires de fortune (environ 20%) rattrapent leur retard :
En ce qui concerne les vecteurs d’attaque, les vulnérabilités logicielles et les attaques via une interface web sont au premier plan, mais les attaques via des fournisseurs de services sont en augmentation :
C’est notamment dans ce contexte que la FINMA a RS révisée sur les risques opérationnels (en vigueur le 1er janvier 2024) a adapté sa pratique de surveillance des cyberrisques. Elle a en outre mené une enquête auprès des petites et moyennes assurances afin d’évaluer le degré de maturité de la gestion des cyberrisques, sur la base de laquelle elle va “définir d’autres mesures de surveillance ponctuelles”. La FINMA a également mené une enquête approfondie auprès des banques, dont elle ne rend pas (encore) compte dans le moniteur de risques.
Nouveau risque d’externalisation
La FINMA considère désormais l’externalisation comme un “moteur essentiel des risques opérationnels” dans le Riskomonitor. La complexité de la chaîne d’approvisionnement augmente avec l’augmentation des externalisations importantes. Les établissements financiers externalisent surtout tout ou partie des processus commerciaux comme le trafic des paiements (2÷3 des banques), le traitement des titres ou l’infrastructure informatique (80% des banques, 60% des assureurs). Il en résulte des dépendances, en particulier pour les établissements présentant des risques de concentration comme notamment les services de cloud computing, mais aussi – comme mentionné – d’autres risques de cyberattaques.
Les établissements restent responsables de la bonne gestion de leurs affaires. Ils doivent donc acquérir les connaissances nécessaires pour pouvoir piloter et surveiller les fonctions externalisées et prendre des mesures si nécessaire. La FINMA estime qu’il y a un retard à combler, notamment en ce qui concerne l’identification de l’ensemble de la chaîne d’approvisionnement et des risques qui y sont liés, et que les risques liés à des externalisations importantes ne sont parfois pas identifiés, surveillés et gérés de manière adéquate.