Quatre fronts réglementaires simultanés, la directive DORA, la loi révisée sur la protection des données, l’attention portée par la FINMA à l’ensemble de la chaîne d’approvisionnement et la directive CSRD, ont un impact sur un secteur qui, bien qu’il calcule les risques avec précision, a trop souvent tendance à repousser la mise en œuvre de ses propres mesures de conformité. Thomas Schubert, auteur invité, explique pourquoi le cloisonnement entre les services juridiques, informatiques et de gestion des risques devient en réalité un facteur de risque, et comment le principe « tester une fois, se conformer à plusieurs reprises » ainsi que la surveillance continue des contrôles peuvent transformer une charge financière en avantage concurrentiel. Après tout, c’est la culture qui suit la structure, et non l’inverse.
La tempête ne s’apaise pas. Elle s’intensifie.
Depuis des décennies, les assureurs évaluent avec précision les dégâts causés par les tempêtes : vitesse du vent, probabilité d’occurrence et ampleur des dégâts. Tous ces éléments sont pris en compte dans des modèles et intégrés dans le calcul des primes. Pourtant, lorsqu’il s’agit de la « tempête réglementaire » qui les touche directement, le secteur a étonnamment souvent tendance à regarder par la fenêtre en espérant que celle-ci épargnera quelqu’un d’autre.
Pour les assureurs et les courtiers, la gouvernance, la gestion des risques et la conformité ont longtemps constitué un rempart contre les amendes. Il s’agissait d’un centre de coûts géré par des spécialistes que personne n’invitait à siéger au conseil d’administration, sauf en cas de problème.
Non pas parce que la GRC est soudainement devenue plus attrayante, mais parce que les forces externes qui pèsent sur le secteur se sont multipliées en l’espace de quelques années seulement. Quiconque continue aujourd’hui à agir de manière réactive ne gère plus les risques : ce sont les risques qui le gèrent.
Il est temps de s’engager sur la voie de la fin des silos!
La preuve vient du marché : quatre fronts à la fois
La charge réglementaire à laquelle sont confrontés aujourd’hui les assureurs et les courtiers est sans précédent.
À compter de janvier 2025, le règlement DORA s’applique également aux compagnies d’assurance ayant des liens avec l’Union européenne et aux prestataires de services TIC desservant le marché financier européen. Ce règlement impose une gestion exhaustive des tiers, des tests de résilience réguliers et la notification des incidents, qui doit être effectuée dans un délai de quatre heures. Pour un courtier s’appuyant sur une douzaine de prestataires de services informatiques, il ne s’agit plus d’une simple formalité.
La révision de la loi sur la protection des données a introduit la responsabilité personnelle au sein des instances dirigeantes. En cas de violation intentionnelle des obligations d’information ou de communication des données, le comité de direction et le conseil d’administration sont personnellement passibles d’amendes pouvant aller jusqu’à 250’000 francs suisses.
Il ne s’agit plus d’un risque commercial abstrait. Il s’agit d’un nom figurant sur un avis d’amende.
La FINMA a réorienté ses priorités : elle ne se contente plus de vérifier les contrats d’externalisation, mais s’intéresse désormais à l’ensemble de la chaîne d’approvisionnement, y compris les sous-traitants, et, plus récemment, aux menaces internes également.
Et là où la CSRD s’applique, elle impose aux assureurs de mener une analyse de matérialité en deux volets : l’impact de leur propre activité sur l’environnement, et l’impact des risques climatiques sur leur propre activité. Pour un secteur qui a toujours évalué précisément ce type de risques, il s’agit là d’un revirement paradoxal. Nous connaissons le modèle. Nous ne l’avons simplement jamais appliqué à nous-mêmes.
Quatre fronts. Tous en même temps. Aucun d’entre eux ne disparaîtra si vous les ignorez.
Le risque GRC : quand l’effort dépasse la culture d’entreprise
Le réflexe : nouvelles réglementations, nouvelle équipe, nouvelle liste de contrôle. Il en résulte des silos qui se bloquent mutuellement au lieu de se compléter. Le responsable de la conformité connaît par cœur les échéances de la loi DORA, mais n’a jamais échangé avec le RSSI, qui gère l’environnement informatique tiers proprement dit. La gestion des risques élabore des scénarios que personne au sein de l’équipe de direction n’a jamais vus, car ils se perdent dans un rapport que personne ne lit.
Il s’agit là de la « thérapie de façade » sous sa forme la plus courante : une documentation qui rassure mais ne mène à rien. Et c’est le « sommeil de la conformité », ce sentiment trompeur d’être en règle, peut-être parce qu’un certificat est accroché au mur, alors que les processus réels ont depuis longtemps cessé de s’y conformer. Les rouages ne s’engrènent plus les uns avec les autres.
Le plus grand danger réside dans la culture d’entreprise elle-même. « Le poisson pourrit par la tête » (Érasme de Rotterdam).
Quiconque a considéré le GRC comme un obstacle pendant des années continuera à le percevoir comme tel, même si la direction appelle officiellement à un changement de culture. Les collaborateurs ne signalent pas les incidents parce qu’ils craignent les conséquences plutôt que parce qu’ils s’attendent à recevoir du soutien.
Les dirigeants approuvent les rapports sans poser de questions critiques, car c’est plus rapide ainsi. C’est à cela que ressemble l’absence de responsabilité: personne au sein du système ne pose de questions difficiles avant que l’autorité de régulation ne le fasse.
Quiconque pense qu’il s’agit là d’un problème réservés aux grands assureurs se trompe. Les courtiers comptant dix ou vingt salariés sont soumis à la même responsabilité, souvent sans disposer des ressources nécessaires pour en atténuer les risques. C’est précisément là que naît la panique réglementaire, lorsque les exigences évoluent plus vite que notre compréhension de celles-ci.
La solution pratique : passer de l’attentisme à la prise de contrôle
La réponse ne réside pas dans l’augmentation des effectifs, mais dans une meilleure coordination.
Un assureur qui traite les exigences DORA, DSG, FINMA et CSRD comme des projets distincts double ou triple ses efforts pour répondre à la même question fondamentale : notre entreprise est-elle résiliente, transparente et manifestement sécurisée ?
Ceux qui, au contraire, attribuent un contrôle unique à plusieurs exigences selon le principe « tester une fois, se conformer à plusieurs reprises » réduisent de manière avérée leur charge de travail liée aux audits de 30 à 70 %.
Le « suivi continu des contrôles » (Continuous Control Monitoring) remplace un instantané par une surveillance permanente. Au lieu de « mettre les choses en ordre » trois jours avant un audit ou un rapport trimestriel, le système indique à tout moment si les contrôles sont réellement efficaces, et pas seulement s’ils sont documentés. L’« ICS » passe d’un système de vérification de la conformité à un système d’alerte précoce. Les écarts deviennent visibles avant qu’ils ne dégénèrent en infractions, et non après.
Organisez le « CMS » de manière plus structurée. Privilégiez la consolidation plutôt que la multiplication des audits. Ce principe repose sur l’idée suivante : « un seul audit pour plusieurs conformités ». Un seul audit démontre la conformité à de multiples exigences réglementaires au sein du système de gestion et couvre plusieurs exigences réglementaires.
Le concept de « Compliance by Design » intègre la conformité directement dans les projets. Il met l’accent non plus sur la correction rétroactive des erreurs, mais sur la prévention. Cela permet d’éviter le risque d’erreurs ainsi que des ajustements rétroactifs coûteux des processus et des systèmes informatiques.
Pour les courtiers qui travaillent avec de nombreux prestataires tiers, cela signifie que la cyberhygiène, la stabilité financière et les vérifications des listes de sanctions s’effectuent en temps réel, et non plus une seule fois par an au moyen d’un questionnaire.
Voici à quoi ressemble concrètement la suppression des cloisonnements: le service juridique examine les clauses contractuelles avec le prestataire de services informatiques. Le service informatique surveille les délais de réponse en cas d’urgence. La gestion des risques examine la matrice des tiers. Ce n’est que lorsque ces trois perspectives convergent qu’une couverture fragmentée devient un levier réglementaire qui renforce la confiance, permet de remporter des appels d’offres et réduit le coût du capital.
Et surtout : la culture suit la structure, et non l’inverse.
Une entreprise qui considère la GRC comme un système d’alerte précoce plutôt que comme un examen rétrospectif modifie automatiquement le comportement de ses collaborateurs. Ceux qui savent que le signalement d’un risque est récompensé plutôt que sanctionné le signaleront plus tôt. C’est précisément là que se joue la question de savoir si une organisation voit la tempête arriver ou ne se rend compte de sa présence qu’une fois que le toit a déjà été emporté.
Conclusion : oui, elles existent bel et bien !
Les assureurs et les courtiers vendent un sentiment de sécurité face à l’incertitude. Il est temps pour eux d’appliquer ce principe à eux-mêmes avant que l’autorité de régulation, le client ou leur propre conseil d’administration ne le leur impose.
Souhaitez-vous enfin transformer la conformité, qui est aujourd’hui un facteur de coût, en un avantage concurrentiel ?
TRANSFORMER LA RÉGLEMENTATION EN VALEUR AJOUTÉE !
Thomas Schubert
M. #DeedsCountMore
Voir aussi : De l’épargne aux retraits : l’évolution numérique de la planification de la retraite
Recherche :
Sponsors :
