Par Antony
Derbes, Président d’Open Lake Technology.
Pendant longtemps, la
conformité MiFID était un sujet relativement circonscrit. Les établissements
financiers concentraient leurs efforts sur les salles de marché, où les
obligations d'enregistrement des communications étaient clairement identifiées.
Cette vision appartient
désormais au passé.
Aujourd'hui, les
échanges professionnels se déroulent partout : sur téléphone fixe, téléphone
mobile, Microsoft Teams, Zoom, ou encore via des plateformes de communication
unifiée qui se sont imposées dans le quotidien des collaborateurs.
Les usages ont évolué
beaucoup plus vite que les architectures qui étaient censées les encadrer.
Et c'est précisément là
que se situe désormais le véritable risque.
Une architecture qui
s'est empilée au fil des années
Très peu
d'établissements financiers ont conçu leur système de communication dans une
logique globale.
La réalité est bien
différente.
La téléphonie fixe est
arrivée en premier. Puis les smartphones professionnels.
Ensuite sont venus les
outils collaboratifs, accélérés par la généralisation du télétravail. Enfin,
pour répondre aux exigences réglementaires, différentes solutions
d'enregistrement sont venues s'ajouter progressivement.
Chaque nouvelle couche
répondait à un besoin immédiat.
Aucune n'a réellement
été pensée en cohérence avec les précédentes.
Au fil des années, les
directions des systèmes d'information ont ainsi hérité d'environnements
complexes, composés de technologies hétérogènes, de fournisseurs multiples, de
contrats distincts et de cycles de maintenance indépendants.
Cette complexité reste
souvent invisible… jusqu'au jour où il faut démontrer que l'ensemble fonctionne
réellement sans rupture.
Le véritable risque est
devenu technique
La directive MiFID II
impose aux entreprises d'investissement de prendre toutes les mesures
raisonnables afin d'enregistrer les communications pertinentes réalisées dans
le cadre de leurs activités professionnelles.
Sur le papier, le
principe est clair.
Dans la pratique, son
application est devenue beaucoup plus délicate.
Chaque nouveau canal de
communication autorisé par l'entreprise crée potentiellement un nouveau
périmètre de conformité.
Le problème n'est plus
uniquement réglementaire.
Il devient profondément
technique.
Car un outil
d'enregistrement installé il y a plusieurs années continue souvent de
fonctionner sans que personne ne vérifie réellement sa capacité à couvrir les
usages actuels : nouvelles versions des logiciels collaboratifs, évolution des
systèmes d'exploitation, nouveaux terminaux, nouvelles pratiques de mobilité ou
encore nouveaux modes de connexion à distance.
Autrement dit, la
conformité d'hier n'est pas automatiquement celle d'aujourd'hui.
Le DSI devient l'un des
garants de la preuve
Historiquement, la
conformité relevait essentiellement du RCCI tandis que les infrastructures
restaient sous la responsabilité de la DSI.
Cette frontière s'est
progressivement estompée.
Lorsqu'un régulateur
demande aujourd'hui de reconstituer une piste d'audit complète, la question
dépasse largement l'existence d'une politique d'enregistrement.
Il faut être capable de
démontrer que chaque communication pertinente, quel que soit le canal utilisé,
a effectivement été captée, conservée et peut être restituée.
Cette démonstration
repose désormais autant sur l'architecture technique que sur les procédures de
conformité.
Le DSI ne fournit plus
uniquement des outils.
Il devient l'un des
acteurs de la capacité de l'établissement à apporter cette preuve.
Trois questions que
chaque DSI devrait se poser
Quelques questions
simples permettent d'évaluer la robustesse réelle d'une architecture de
communication.
• Un conseiller qui poursuit une conversation
client sur son téléphone mobile bénéficie-t-il exactement du même niveau
d'enregistrement que depuis son poste fixe ?
• Les différents outils de communication déployés dans l'entreprise offrent-ils une couverture homogène ou reposent-ils sur plusieurs solutions indépendantes qu'il faut maintenir
séparément ?
• Lorsqu'une mise à jour intervient sur une
plateforme collaborative ou sur un terminal, existe-t-il un mécanisme
permettant de vérifier immédiatement que la continuité de l'enregistrement est
toujours assurée ?
Si ces réponses
nécessitent plusieurs vérifications ou plusieurs interlocuteurs, il est
probable que l'architecture comporte déjà des zones d'incertitude.
La conformité ne peut
plus être une succession de surcouches
Pendant des années, la
réponse a consisté à ajouter un nouvel outil chaque fois qu'un nouvel usage
apparaissait.
Un logiciel pour le
mobile.
Un connecteur pour
Teams.
Une application pour la
visioconférence.
Un autre outil pour
l'archivage.
Cette logique a permis
de répondre rapidement aux besoins du moment.
Mais elle a aussi
multiplié les dépendances techniques, les interfaces à maintenir et les risques
de rupture entre les différents composants.
À mesure que les usages
numériques se diversifient, cette approche montre aujourd'hui ses limites.
L'enjeu n'est plus
seulement d'enregistrer davantage de communications.
Il consiste à
construire une architecture capable d'assurer cette continuité de manière
cohérente, quel que soit le canal utilisé.
De plus en plus
d'acteurs s'interrogent ainsi sur des approches où les mécanismes
d'enregistrement, de conservation et de restitution sont intégrés au plus près
des infrastructures de communication, afin de limiter les points de rupture et
de réduire la dépendance à une multiplication de couches applicatives.
La conformité cesse
alors d'être une fonction ajoutée à posteriori pour devenir une caractéristique
intrinsèque de l'infrastructure.
Repenser la conformité
avant que les usages ne nous dépassent
Les outils de
communication continueront d'évoluer.
L'intelligence
artificielle conversationnelle, les nouveaux environnements collaboratifs et
les usages toujours plus mobiles transformeront encore les échanges
professionnels dans les prochaines années.
Dans ce contexte, la
conformité ne peut plus être considérée comme un simple sujet réglementaire.
Elle devient un
véritable enjeu d'architecture.
Le DSI n'est plus
uniquement celui qui garantit la disponibilité des systèmes. Il devient
également l'un des garants de leur capacité à démontrer, à tout moment, la
conformité des communications face au régulateur.
C'est sans doute le véritable changement introduit par MiFID : moins une évolution des obligations elles-mêmes qu'une transformation profonde de la manière dont les établissements financiers doivent désormais concevoir leurs infrastructures numériques.