La résilience opérationnelle désigne la capacité d’une organisation à absorber une perturbation (panne, cyberattaque, défaillance d’un prestataire, sinistre physique) tout en continuant d’assurer ses fonctions critiques, puis à s’adapter et à tirer les enseignements de l’événement. Dans le secteur financier, la notion dépasse la seule continuité informatique et englobe les processus, les équipes, les locaux et les tiers.
Une notion héritée de la continuité d’activité
Les établissements financiers travaillent depuis longtemps avec des plans de continuité et, pour les plus structurés, un système de management de la continuité d’activité. Ces dispositifs reposent sur des scénarios identifiés à l’avance, assortis de délais de reprise et de solutions de repli éprouvées à intervalles réguliers. La résilience opérationnelle prolonge cette démarche en partant d’un postulat différent : la perturbation grave finira par survenir, parfois sous une forme imprévue, et l’établissement doit rester capable de rendre ses services essentiels pendant l’événement même.
En 2021, le Comité de Bâle a publié des principes de résilience opérationnelle destinés aux banques, disponibles sur le site de la Banque des règlements internationaux. Ils décrivent la résilience comme la capacité d’un établissement à assurer ses opérations critiques malgré une perturbation, en s’appuyant notamment sur la gouvernance, la continuité d’activité, la cartographie des interconnexions et la maîtrise des dépendances vis-à-vis des tiers.
DORA, la déclinaison européenne pour le numérique
Sur le plan réglementaire, l’Union européenne a traduit ces orientations pour la dimension numérique avec le règlement sur la résilience opérationnelle numérique, publié au Journal officiel de l’Union européenne et applicable depuis janvier 2025. L’entrée en application de DORA impose aux entités financières un cadre de gestion du risque informatique, la notification des incidents majeurs, des tests de résilience et un encadrement des prestataires de services numériques. La mise en œuvre concrète de DORA, de la classification des incidents au reporting aux autorités, mobilise les équipes risques et sécurité du secteur.
Le règlement ne couvre toutefois que le volet numérique ; la résilience au sens du Comité de Bâle inclut aussi les personnes, les locaux et les processus métier, exposés par exemple à une panne d’électricité ou à une crise sanitaire sans qu’aucun système d’information soit en cause.
Les composantes d’un dispositif de résilience
Fonctions critiques et tolérances aux perturbations
Tout dispositif commence par identifier ce que l’établissement ne peut pas se permettre d’interrompre : paiements, tenue de compte, accès aux espèces, passage d’ordres, versement des prestations. Pour chaque fonction critique ou importante, l’organisation définit une tolérance aux perturbations, c’est-à-dire la durée, le volume ou le niveau de dégradation au-delà desquels l’interruption devient inacceptable pour les clients ou pour le marché. Ces tolérances servent ensuite à dimensionner les moyens de secours et à juger les résultats des tests.
Cartographie des dépendances
Une fonction critique repose rarement sur un seul système. Sa cartographie recense les applications, les flux de données, les infrastructures, les compétences et les prestataires dont elle dépend. Ce travail met souvent au jour des maillons peu visibles : un référentiel maintenu par une équipe unique ou un composant logiciel tiers embarqué dans une chaîne de paiement.
Continuité, reprise et gestion de crise
Les plans existants restent le socle du dispositif. Le plan de continuité d’activité organise le maintien des activités en mode dégradé, tandis que le plan de reprise d’activité décrit la reconstruction des environnements informatiques après un sinistre. S’y ajoute un dispositif de gestion de crise, avec une cellule décisionnelle et des canaux de communication distincts des outils habituels. La préparation à une crise d’origine cyber présente des particularités, notamment lorsque la messagerie ou l’annuaire de l’entreprise sont eux-mêmes compromis. L’ANSSI publie des guides consacrés à l’organisation d’exercices de gestion de crise cyber.
Des tests réguliers aux exercices fondés sur la menace
La vérification du dispositif prend des formes graduées : bascules techniques planifiées, restaurations de sauvegardes, journées de repli des équipes, simulations de crise. DORA ajoute, pour certains établissements, des tests d’intrusion fondés sur la menace (TLPT), au cours desquels une équipe offensive rejoue les modes opératoires d’attaquants plausibles sur les systèmes en production, dans un cadre strictement contrôlé.
Ce qui distingue la résilience de la continuité
La continuité d’activité vise le maintien d’un service selon des paramètres fixés à l’avance : scénarios retenus, délais de reprise, sites de secours. Elle répond bien aux sinistres pour lesquels elle a été conçue.
La résilience opérationnelle élargit le champ. Elle admet que certains événements sortiront des scénarios prévus, comme l’indisponibilité simultanée de plusieurs prestataires ou la corruption conjointe des données et de leurs sauvegardes, et s’intéresse au résultat obtenu pour le client final plutôt qu’au rétablissement de tel ou tel système. Elle comporte aussi une dimension d’apprentissage : incidents et exercices alimentent la révision des tolérances, des cartographies et des plans, comme l’illustrent les retours d’expérience des cyberattaques visant banques et assurances.
Tiers, externalisation et risque de concentration
Une part croissante des fonctions critiques s’appuie sur des services externalisés : hébergement cloud, édition logicielle, traitement des paiements, infogérance. La résilience d’un établissement dépend alors de celle de ses prestataires, que la seule surveillance contractuelle ne suffit pas toujours à garantir. DORA demande aux entités financières de tenir un registre d’informations recensant leurs prestataires numériques et les fonctions qu’ils soutiennent.
Les principes de Bâle comme DORA soulignent aussi le risque de concentration : quand de nombreux acteurs dépendent du même fournisseur, une défaillance unique peut toucher un pan entier du marché. Les stratégies de réversibilité et de plan de sortie (clauses contractuelles, portabilité des données, tests de sortie) visent à conserver une marge de manœuvre face à cette dépendance.
Questions fréquentes sur la résilience opérationnelle
La résilience opérationnelle remplace-t-elle le plan de continuité d’activité ?
Non. Les plans de continuité et de reprise demeurent des composantes indispensables. La résilience opérationnelle les replace dans un ensemble plus large, qui y ajoute l’identification des fonctions critiques, la fixation de seuils de tolérance, la prise en compte des dépendances vis-à-vis des tiers et un cycle d’amélioration nourri par les incidents et les exercices.
Qu’est-ce qu’une tolérance aux perturbations ?
C’est la limite que l’établissement se fixe pour chaque fonction critique : passé un certain temps d’arrêt, un certain volume d’opérations en souffrance ou un niveau de service trop dégradé, la perturbation cesse d’être tolérable pour les clients ou pour le marché. La direction valide cette limite, qui encadre ensuite le calibrage des secours et l’appréciation des exercices.
Quelles entités sont concernées par DORA ?
Le règlement européen s’applique à la plupart des entités du secteur financier, dont les établissements de crédit, les entreprises d’assurance et d’investissement ainsi que les prestataires de services de paiement ou sur crypto-actifs, avec des exigences proportionnées à la taille et au profil de risque de chacune. Il prévoit également une supervision européenne dédiée pour certains prestataires informatiques jugés critiques pour le secteur.
À quoi servent les exercices fondés sur la menace ?
Ces exercices confrontent les défenses d’un établissement à une attaque simulée reproduisant les techniques de groupes offensifs réalistes, menée dans l’environnement réellement exploité par l’établissement. Ils permettent d’évaluer la détection, la réaction des équipes et la coordination interne dans des conditions proches d’un incident réel, ce que les tests techniques classiques ne mesurent que partiellement.
