MFSA DORA 2025 : Leçons d’autorisation – Lacunes TIC que les cabinets comptables doivent combler
L’Autorité maltaise des services financiers a publié une circulaire tirant ses observations du cycle d’autorisation 2025, et le message pour les entreprises financières est direct : la sensibilisation au règlement sur la résilience opérationnelle numérique augmente, mais l’écart entre la politique documentée et la pratique réelle reste large. Pour les cabinets comptables conseillant des clients crypto, les directeurs financiers gérant des opérations d’actifs numériques, et toute entité dont l’infrastructure de logiciel de comptabilité crypto touche des activités réglementées par l’UE, la circulaire est une liste de contrôle pratique déguisée en réflexion de supervision.
Ce que dit réellement la circulaire de la MFSA
L’Autorité a examiné les demandes d’autorisation et identifié des défaillances communes et récurrentes dans la manière dont les candidats démontrent leur conformité à DORA, officiellement le règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier. La circulaire ne nomme pas d’entreprises spécifiques. Elle cartographie plutôt le paysage de ce où le secteur est encore en retard, et où il commence à bien faire les choses.
La conclusion centrale : une politique sans pratique
L’observation centrale est que de nombreux candidats arrivent avec une documentation en place mais ne peuvent pas démontrer comment ces politiques fonctionnent dans des conditions réelles. L’Autorité déclare explicitement que la résilience opérationnelle numérique va au-delà de la préparation de politiques et de documents. Les examinateurs veulent voir que les mesures de résilience soutiennent réellement la continuité, la sécurité et la fiabilité des activités commerciales au quotidien, pas seulement sur papier soumis à un régulateur.
Cette distinction est extrêmement importante pour les entreprises qui exploitent ou conseillent des environnements de logiciels de comptabilité d’actifs numériques. Un document de politique décrivant comment un incident TIC est escaladé n’est pas la même chose qu’une procédure de gestion des incidents testée et fonctionnelle, avec des rôles définis, des seuils documentés et la preuve d’au moins un exercice pratique.
Quatre domaines de faiblesse récurrents
La MFSA regroupe ses préoccupations autour de quatre piliers qui correspondent directement à la structure de DORA :
- Dispositifs de gouvernance : Les candidats manquent fréquemment d’une responsabilité claire au niveau du conseil d’administration pour le risque TIC. La propriété est diffuse, les chemins d’escalade ne sont pas définis, et la haute direction ne peut pas démontrer une supervision active du cadre de résilience plutôt qu’une approbation passive d’un document.
- Processus de gestion des risques TIC : Des registres des risques existent mais sont souvent statiques, génériques ou déconnectés de la pile technologique et du modèle d’affaires réels du candidat. L’Autorité s’attend à ce que les registres reflètent le profil de risque spécifique de l’entité, et non une liste générique de menaces cybernétiques modélisées.
- Procédures de gestion des incidents : Les flux de travail de détection, de classification et de notification sont présents par écrit mais n’ont pas été opérationnalisés. Les entreprises ne peuvent pas démontrer comment elles identifieraient un incident TIC majeur, classifieraient sa gravité selon les critères de DORA, ou notifieraient la MFSA dans les délais requis.
- Supervision des prestataires de services TIC tiers : Ce point est identifié comme un point douloureux particulier. Les contrats avec les fournisseurs de cloud, les vendeurs de données et les partenaires technologiques externalisés manquent souvent des clauses exigées par DORA, et la supervision interne de ces fournisseurs est mince ou totalement absente.
Où les candidats réussissent
La circulaire n’est pas uniformément critique. La MFSA note spécifiquement que les candidats ont généralement démontré des niveaux de préparation plus élevés dans le domaine des tests de résilience opérationnelle numérique. Cela est significatif : les entreprises semblent avoir investi dans les tests d’intrusion, les évaluations de vulnérabilité et les exercices de continuité plus facilement que dans la gouvernance et l’infrastructure contractuelle qui entourent ces tests.
Pourquoi les tests seuls ne suffisent pas
Un résultat de test sans un cadre de gouvernance pour agir dessus, escalader les constats et suivre les corrections a une valeur réglementaire limitée. L’observation de l’Autorité suggère que certains candidats traitent les tests comme un livrable plutôt que comme un intrant dans un cycle continu de gestion des risques. Pour les entreprises dont le logiciel de tenue de livres crypto ou le logiciel de comptabilité d’actifs numériques se connecte à plusieurs flux de données tiers, échanges ou API de conservation, un test d’intrusion d’un composant ne remplace pas un cadre de résilience intégré couvrant l’ensemble de la chaîne.
Portée de DORA et pourquoi les entreprises crypto de l’UE ne peuvent pas l’ignorer
DORA s’applique à l’ensemble du secteur financier de l’UE, y compris les prestataires de services sur crypto-actifs autorisés en vertu de MiCA. Malte est l’une des juridictions d’autorisation CASP les plus actives de l’UE, ce qui rend les observations de la MFSA particulièrement significatives en tant qu’indicateur avancé de ce que les autres autorités nationales compétentes constatent également. Les entreprises qui ont obtenu ou poursuivent une autorisation MiCA à Malte, ou qui s’appuient sur une entité maltaise pour le passeport européen, doivent traiter cette circulaire comme une orientation de supervision avec un effet pratique direct.
Le lien avec MiCA
MiCA ne reproduit pas DORA mais il ne l’ignore pas non plus. Les CASP qui sont également concernés par DORA, en raison de leur taille, de leur rôle en tant que fournisseurs tiers TIC importants, ou parce qu’ils opèrent au sein d’un groupe qui inclut des entités soumises à DORA, font face à une double obligation de conformité. Les observations de la MFSA suggèrent que les entreprises demandant une autorisation CASP sont évaluées sur leur préparation DORA dans le cadre du même processus d’autorisation, et les faiblesses dans un cadre soulèveront probablement des questions sur l’autre.
Cette tendance s’est manifestée ailleurs dans l’UE. La FSMA belge a déjà pris des mesures contre les CASP non autorisés après la date limite MiCA, comme couvert dans notre article sur la FSMA belge signale six CASP non autorisés après la date limite MiCA. La trajectoire est claire : les régulateurs de tout le bloc resserrent simultanément les normes d’autorisation à travers les cadres de résilience numérique spécifiques aux crypto et intersectoriels.
Implications pratiques pour les cabinets comptables et les directeurs financiers
La circulaire de la MFSA est adressée largement, mais ses implications opérationnelles varient selon la position de l’entreprise dans l’écosystème.
Pour les cabinets comptables conseillant des clients soumis à DORA
Les conseillers doivent comprendre que les examens de conformité DORA feront de plus en plus partie de la diligence raisonnable pré-autorisation, de l’engagement de supervision annuel et potentiellement du périmètre d’audit. Les quatre domaines de faiblesse identifiés par la MFSA se traduisent en flux de travail d’audit et de conseil :
- Analyse des lacunes en gouvernance : cartographier la responsabilité au niveau du conseil pour le risque TIC par rapport aux exigences de DORA et identifier où la responsabilité est floue ou non attribuée.
- Examen du registre des risques TIC : évaluer si le registre reflète l’architecture technologique réelle du client, y compris tout composant de logiciel de comptabilité crypto ou de logiciel de comptabilité d’actifs numériques, plutôt qu’un modèle générique.
- Audit des contrats tiers : examiner les accords avec les fournisseurs par rapport aux dispositions contractuelles obligatoires de DORA, en particulier pour l’infrastructure basée sur le cloud et le traitement externalisé des données.
- Simulation de gestion des incidents : organiser un exercice sur table pour tester si la procédure documentée fonctionne réellement, et produire des preuves pouvant être présentées à un régulateur.
Pour les directeurs financiers et les équipes financières internes des entreprises d’actifs numériques
La conclusion de la MFSA selon laquelle les soumissions ne sont souvent pas adaptées au modèle d’affaires et au profil de risque spécifiques du candidat est un signal direct aux directeurs financiers. Un cadre DORA générique acheté prêt à l’emploi ou copié d’une divulgation d’une institution plus grande ne satisfera pas l’Autorité. Le profil de risque d’un CASP exploitant une plateforme de négociation de jetons est matériellement différent de celui d’un établissement de paiement traditionnel, et la documentation doit le refléter.
Pour les équipes financières, la lacune dans la supervision des tiers est particulièrement aiguë. Les opérations d’actifs numériques reposent généralement sur un réseau de fournisseurs externes : flux de données blockchain, connectivité d’échange, solutions de conservation, infrastructure de staking, et la couche de logiciel de tenue de livres crypto qui se trouve au-dessus de tout cela. Chacune de ces relations nécessite un contrat conforme à DORA et un processus de supervision continu. Les observations de la MFSA suggèrent que c’est là où la plupart des entreprises sont actuellement sous-équipées.
La même tendance est visible dans la manière dont l’AMF française a abordé la supervision post-MiCA, détaillée dans notre analyse de comment le nouveau rôle de supervision de l’AMF remodèle l’octroi de licences CASP en France. Dans toutes les juridictions de l’UE, la direction est vers un examen plus approfondi et fondé sur des preuves plutôt que sur une conformité documentaire.
Considérations comptables et d’information financière
La posture de conformité DORA d’une entité réglementée a des implications en matière d’information financière qu’il est facile de négliger jusqu’à ce qu’un incident ou une constatation de supervision les rende inévitables.
Provisions et passifs éventuels
Lorsqu’un risque TIC a été identifié, documenté mais non corrigé, les équipes financières doivent déterminer si une provision ou une divulgation de passif éventuel est requise en vertu de la norme comptable applicable. Une lacune connue dans les procédures de gestion des incidents n’est pas simplement une question opérationnelle si elle crée une obligation probable envers le régulateur ou les contreparties concernées à la suite d’un incident. Les coûts de correction liés à DORA doivent également être planifiés et budgétisés, et les dépenses d’investissement matérielles dans les mises à niveau de l’infrastructure TIC peuvent devoir être divulguées dans les informations prospectives sur les risques.
Coûts de renégociation des contrats tiers
Mettre les contrats fournisseurs existants en conformité avec DORA n’est pas gratuit. Les frais juridiques, les coûts de modification de contrat et le besoin potentiel de migrer vers un fournisseur conforme lorsqu’un fournisseur existant refuse d’accepter les conditions imposées par DORA sont tous des éléments financiers que la fonction de directeur financier doit prendre en charge. Pour les entreprises qui n’ont pas encore cartographié leur exposition aux tiers, la première étape est un inventaire : chaque dépendance TIC externe soutenant une activité réglementée doit être identifiée et évaluée.
Risque TIC dans le cadre de contrôle interne
Les exigences de DORA en matière de gestion des risques TIC sont suffisamment substantielles pour devoir être reflétées dans le cadre de contrôle interne d’une entreprise et, le cas échéant, dans le périmètre de l’audit interne. Les auditeurs externes sont de plus en plus interrogés par les clients et les régulateurs sur la robustesse de la gouvernance des TIC. Les entreprises qui peuvent démontrer un cadre DORA vivant, testé et approuvé par le conseil d’administration seront dans une position matériellement plus forte, tant dans les interactions de supervision que dans les conversations d’audit, que celles présentant une documentation statique.
Ce que les entreprises devraient faire avant la prochaine fenêtre d’autorisation
La MFSA déclare que la circulaire est destinée à soutenir les titulaires de licence potentiels et existants dans la préparation des processus d’autorisation. Ce cadrage est important : ce n’est pas une critique rétrospective des candidats passés, c’est une orientation prospective pour toute personne dont le renouvellement d’autorisation ou la demande initiale approche.
La séquence pratique pour la plupart des entreprises sera : d’abord, évaluer la gouvernance TIC actuelle par rapport à chacun des quatre domaines de faiblesse identifiés par la MFSA. Ensuite, commander ou réaliser une analyse des lacunes sur tous les contrats TIC tiers. Troisièmement, effectuer au moins un exercice documenté de gestion des incidents et conserver les preuves. Quatrièmement, s’assurer que le registre des risques est reconstruit ou révisé pour refléter les systèmes réels de l’entreprise, y compris tout composant de logiciel de comptabilité crypto faisant partie de l’infrastructure réglementée. Cinquièmement, présenter les résultats au conseil d’administration et documenter cette discussion.
L’Autorité a été explicite sur le fait qu’elle s’attend à ce que les soumissions soient adaptées. Une soumission DORA crédible d’un CASP maltais en 2025 ou 2026 ne ressemblera en rien à une soumission d’un établissement de crédit traditionnel. Le modèle d’affaires, la pile technologique et le profil de risque doivent guider le contenu.
Source : Autorité maltaise des services financiers
Questions fréquentes
Que contient la circulaire DORA de la MFSA ?
L’Autorité maltaise des services financiers a publié une circulaire résumant les faiblesses récurrentes qu’elle a observées lors de l’examen des demandes d’autorisation en vertu du règlement sur la résilience opérationnelle numérique (DORA). Elle identifie la gouvernance, la gestion des risques TIC, la gestion des incidents et la supervision des tiers comme les principaux domaines où les candidats sont encore en retard, et note que les tests de résilience sont le domaine de force relative.
À quelles entreprises DORA s’applique-t-il ?
DORA, officiellement le règlement (UE) 2022/2554, s’applique à l’ensemble du secteur financier de l’UE. Cela inclut les établissements de crédit, les entreprises d’investissement, les établissements de paiement, les prestataires de services sur crypto-actifs autorisés en vertu de MiCA, et une gamme d’autres entités financières. Les obligations spécifiques et les seuils de proportionnalité varient selon le type et la taille de l’entité.
DORA affecte-t-il les prestataires de services sur crypto-actifs à Malte ?
Oui. Les CASP autorisés en vertu de MiCA à Malte font partie du secteur financier de l’UE et entrent dans le champ d’application de DORA lorsque les seuils et conditions pertinents sont remplis. La circulaire de la MFSA précise que la conformité DORA est évaluée dans le cadre du processus d’autorisation, ce qui signifie que des faiblesses dans la gouvernance des TIC ou la supervision des tiers peuvent affecter la capacité d’un CASP à obtenir ou conserver sa licence.
Que devrait faire un directeur financier en réponse à la circulaire de la MFSA ?
Les directeurs financiers des entreprises soumises à DORA devraient traiter les quatre domaines de faiblesse identifiés par la MFSA comme une liste de contrôle pratique : la gouvernance des TIC et la responsabilité du conseil d’administration, la spécificité et l’actualité du registre des risques TIC, l’opérationnalisation des procédures de gestion des incidents, et les dispositions contractuelles et de supervision avec les fournisseurs TIC tiers. Chaque domaine doit être évalué par rapport à la pratique actuelle, pas seulement par rapport à la documentation existante.
Quel est le lien entre la circulaire de la MFSA et l’infrastructure des logiciels de comptabilité crypto ?
Tout logiciel de comptabilité crypto ou logiciel de comptabilité d’actifs numériques faisant partie de l’infrastructure opérationnelle d’une entreprise réglementée est un système TIC aux fins de DORA. Si ce logiciel est hébergé par un fournisseur tiers, le contrat et les dispositions de supervision doivent répondre aux exigences de DORA. S’il est exploité en interne, il relève du champ de la gestion des risques TIC et des tests de résilience que la MFSA s’attend à ce que les entreprises documentent et démontrent.