B-13 : gouvernance des risques technologiques
Groupe Conseil GRD.
La ligne directrice B-13 du Bureau du surintendant des institutions financières (BSIF), Gestion du risque lié aux technologies et du cyberrisque, établit les attentes du BSIF envers toutes les institutions financières fédérales (IFF), y compris les succursales de banques étrangères et de sociétés d'assurance étrangères (BSIF, B-13). La version finale a été publiée le 13 juillet 2022 et est en vigueur depuis le 1er janvier 2024, un délai prévu pour permettre aux IFF de s'autoévaluer (lettre du BSIF). Groupe Conseil GRD s'attarde ici au premier domaine, la gouvernance.
Une approche fondée sur le risque
Le BSIF précise qu'il n'y a pas d'approche universelle : la ligne directrice doit être lue et mise en œuvre dans une optique fondée sur le risque, selon la taille de l'IFF, la nature, la portée et la complexité de ses activités et son profil de risque (BSIF, B-13).
Trois domaines, trois résultats
B-13 compte trois domaines, chacun assorti d'un résultat attendu (BSIF, B-13) :
- Gouvernance et gestion du risque : des responsabilités et des structures claires, des stratégies et des cadres détaillés.
- Activités et résilience technologiques : un environnement stable, extensible et résilient, soutenu par des processus d'exploitation et de reprise robustes.
- Cybersécurité : une posture sûre qui protège la confidentialité, l'intégrité et la disponibilité des actifs technologiques.
Principe 1 : responsabilité et structure
La haute direction doit confier la responsabilité du risque lié aux technologies et du cyberrisque à des cadres supérieurs, par exemple le DPT, le DPI ou le DPSI. Ces postes doivent avoir une stature importante et une visibilité notable. L'IFF doit aussi établir une structure à l'échelle de l'institution, avec des ressources humaines et financières adéquates, intégrer à la haute direction des personnes qui comprennent ces risques et faire valoir une culture de sensibilisation (BSIF, B-13).
Principe 2 : une stratégie mesurable
L'IFF doit définir, documenter, approuver et mettre en œuvre un ou plusieurs plans stratégiques en technologie et en cybersécurité, alignés sur la stratégie d'affaires. Ces plans doivent anticiper les changements, décrire les menaces et vulnérabilités, inclure des indicateurs de risque suivis et rapportés, et expliquer comment ces activités appuient la stratégie globale (BSIF, B-13).
Principe 3 : un cadre de gestion du risque
L'IFF doit établir un cadre qui concorde avec son cadre de gestion du risque d'entreprise et l'améliorer en continu. Selon B-13, ce cadre doit tenir compte notamment (BSIF, B-13) :
- des responsabilités et des fonctions de supervision;
- de la propension à prendre des risques (limites, seuils, niveaux de tolérance);
- d'une taxonomie des risques et des domaines de contrôle;
- de politiques, normes et processus approuvés et examinés régulièrement;
- des processus de gestion des exceptions;
- des menaces et technologies émergentes;
- de la reddition de comptes à la haute direction sur les indicateurs et les tendances.
Comment s'y préparer
Le BSIF met à la disposition des IFF un outil d'autoévaluation en matière de gestion du risque lié aux technologies et du cyberrisque, listé avec la ligne directrice (BSIF, B-13). Notre guide « BSIF B-13 : grille d'autoévaluation » propose une grille d'autoévaluation tirée du texte de B-13. Nous recommandons de commencer par vérifier trois points : qui, à la haute direction, porte formellement ce risque; si la propension au risque technologique est documentée; et si les indicateurs remontent régulièrement à la haute direction.
Demander une soumission : info@grdinc.ca