La souveraineté numérique est désormais un risque au niveau du conseil : ce que DORA et la BCE signifient pour les logiciels de comptabilité crypto

Une nouvelle analyse de KPMG, réalisée en collaboration avec la Banque centrale européenne, présente la souveraineté numérique non pas comme un exercice de conformité de niche, mais comme une capacité stratégique essentielle pour les institutions financières réglementées. Publié le 6 juillet 2026, le document affirme que les banques et, par extension, toute entité supervisée par la BCE, doivent être capables de comprendre, contrôler et, si nécessaire, dénouer les dépendances technologiques critiques. Pour les cabinets comptables conseillant des clients financiers, les DAF gérant des fonctions de trésorerie crypto et toute organisation utilisant un logiciel de comptabilité d'actifs numériques pour respecter ses obligations réglementaires, ce cadrage a des implications directes et immédiates.

Ce que KPMG et la BCE ont réellement dit

L'analyse positionne la souveraineté numérique comme une discipline de gestion des risques plutôt qu'une préférence d'approvisionnement technologique. Les institutions financières européennes dépendent fortement d'un petit nombre de plateformes cloud, logicielles et d'IA mondiales pour fournir des fonctions bancaires de base à grande échelle. Cette concentration crée des efficacités, mais aussi des points de défaillance uniques et une exposition à des développements géopolitiques ou juridiques provenant de l'extérieur de la portée juridictionnelle de l'UE.

Le document précise que la souveraineté numérique n'exige pas des institutions qu'elles internalisent toute technologie ni qu'elles évitent les fournisseurs non européens. Ce qu'elle exige, c'est que les dépendances soient visibles, contrôlées et, surtout, réversibles. Une institution qui ne peut pas sortir d'une relation critique avec un tiers sans perturbation opérationnelle a, selon le document, déjà cédé sa souveraineté.

Le socle réglementaire : DORA et le guide cloud de la BCE

Le plancher juridique strict pour les banques réglementées par l'UE repose sur deux instruments. Premièrement, le règlement sur la résilience opérationnelle numérique (DORA), qui exige des institutions qu'elles maintiennent des plans de sortie crédibles pour les fournisseurs tiers de services TIC critiques. Deuxièmement, le guide révisé de la BCE sur l'externalisation cloud, qui fixe des attentes prudentielles pour la gestion du risque de concentration dans les achats cloud. Ensemble, ces instruments signifient que la souveraineté numérique n'est pas simplement une aspiration stratégique ; elle est déjà intégrée dans les programmes d'examen prudentiel.

Au-delà de ces deux ancres, KPMG identifie une architecture politique plus large qui va dans le même sens : le règlement sur les marchés numériques, le droit de la concurrence révisé de l'Allemagne, le paquet législatif sur la souveraineté technologique de l'UE, la proposition de loi sur le cloud et le développement de l'IA, la loi européenne sur les puces 2.0 et la stratégie open source de l'UE. Aucun de ces instruments ne crée individuellement une nouvelle obligation pour chaque entreprise, mais collectivement, ils signalent une intention prudentielle claire. Les conseils d'administration et les comités d'audit qui traitent la souveraineté numérique comme une préoccupation future sont, selon le document, déjà en retard.

Pourquoi les logiciels de comptabilité crypto sont concernés par cette analyse

Les cabinets comptables et les DAF gérant des portefeuilles d'actifs numériques s'appuient couramment sur des plateformes tierces pour l'ingestion de transactions, la réconciliation des grands livres, le calcul de la base de coût et le reporting réglementaire. Ces plateformes se situent clairement dans la catégorie des services TIC critiques abordés par le document KPMG/BCE. Si un fournisseur est intégré dans le processus de clôture mensuelle, la piste d'audit ou le flux de travail de déclaration fiscale, une sortie forcée ou non planifiée de ce fournisseur comporte exactement le risque de continuité opérationnelle et réglementaire que le cadre est conçu pour gérer.

Ce n'est pas une préoccupation théorique. La concentration de la fourniture de logiciels de comptabilité crypto parmi un petit nombre de fournisseurs, dont beaucoup sont basés en dehors de l'UE, signifie que l'exposition géopolitique décrite dans le document, couvrant la résidence des données, les demandes d'accès légales et l'exécution contractuelle, s'applique directement aux fonctions financières crypto.

Résidence des données et droits de décision

Le document KPMG introduit une distinction utile entre l'hébergement dans l'UE et la souveraineté réelle. Localiser les données à l'intérieur des frontières de l'UE ne satisfait pas, en soi, le cadre si le fournisseur conserve des droits unilatéraux de déplacer les charges de travail, de modifier les normes de chiffrement, d'altérer les modèles d'accès aux données ou de résilier le contrat à court terme. Pour les entreprises utilisant des logiciels de comptabilité d'actifs numériques, les questions pertinentes sont de savoir si les données au niveau des transactions peuvent être extraites dans un format portable, si le modèle de support du fournisseur crée une dépendance opérationnelle qui ne peut être dénouée rapidement, et si les conditions contractuelles donnent au client de véritables droits d'audit et de sortie.

Modèles d'IA et la nouvelle couche de dépendance

KPMG souligne spécifiquement l'essor de l'IA comme un facteur qui approfondit le risque de souveraineté numérique. Lorsque les modèles d'IA influencent les décisions de crédit, les alertes de conformité ou la classification des transactions, l'institution doit comprendre non seulement où se trouvent les données sous-jacentes, mais aussi quel modèle, entraîné sur quelles données, produit les résultats qui alimentent les processus réglementés. Pour les fonctions de comptabilité crypto et de lutte contre le blanchiment d'argent (AML), où la classification des activités on-chain est de plus en plus assistée par l'IA, cela ajoute une nouvelle couche de diligence raisonnable que les entreprises devront documenter dans leurs registres de risques TIC en vertu de DORA.

Le cadre d'action en sept domaines

Le document de KPMG décrit sept domaines d'action pour les institutions cherchant une voie pragmatique vers la souveraineté numérique. Bien que le document soit destiné aux banques, la logique s'applique clairement aux défis de gouvernance auxquels est confrontée toute entité réglementée gérant des opérations financières crypto substantielles.

Logique de classification et de placement

La première étape pratique est la classification : cartographier les applications, les ensembles de données et les processus par criticité, sensibilité réglementaire, confidentialité des données, substituabilité et faisabilité de sortie. Pour le bureau d'un DAF, cela signifie catégoriser la pile de logiciels de comptabilité crypto de la même manière qu'une banque catégoriserait son système bancaire central. La plateforme est-elle critique pour le processus de clôture ? Les données de transaction sont-elles détenues exclusivement par le fournisseur ? Quel est le délai de migration réaliste si la relation prend fin ?

La classification détermine ensuite les décisions de placement. Le document soutient que le déploiement dans l'UE peut être approprié pour les services critiques, mais qu'il n'est pas suffisant en soi. Les droits de contrôle, les dépendances de support, la gouvernance du chiffrement et la portabilité doivent être évalués parallèlement à la géographie.

Renforcement de l'infrastructure existante et discipline open source

Le document recommande une utilisation sélective des outils open source pour réduire l'enfermement propriétaire, tout en notant une condition claire : l'open source ne renforce la souveraineté que si l'institution a la capacité interne de l'exploiter en toute sécurité sur l'ensemble de son cycle de vie. Cela signifie une propriété claire, une gestion structurée des correctifs, une gestion proactive des vulnérabilités et un savoir-faire technique suffisant pour maintenir et durcir les composants au fil du temps. Les entreprises qui déploient des outils de comptabilité crypto open source sans ces capacités opérationnelles peuvent réduire la dépendance aux licences tout en augmentant simultanément le risque opérationnel et de sécurité.

Reclassification sous stress géopolitique

Le document appelle explicitement les institutions à analyser le nouveau paysage des risques géopolitiques et à reclasser les actifs en conséquence. Pour les cabinets comptables et les DAF, cela signifie que le registre des risques TIC pour l'infrastructure financière crypto ne doit pas être un document statique. Il doit être examiné à la lumière des développements géopolitiques en cours, y compris les régimes de sanctions, la législation sur la localisation des données dans les pays tiers et les changements dans la structure de propriété ou la juridiction d'un fournisseur.

Implications comptables et d'audit

Le cadre de souveraineté numérique recoupe les obligations de reporting financier de deux manières que les professionnels comptables doivent suivre.

Informations sur la continuité d'exploitation et la continuité

Lorsque la capacité d'une entreprise à produire des registres financiers vérifiables dépend d'une seule plateforme tierce pour laquelle aucun plan de sortie crédible n'existe, les auditeurs et les préparateurs sont confrontés à une question de divulgation. L'exigence de plan de sortie de DORA est, à la base, une sauvegarde de la continuité d'exploitation pour les processus opérationnels. Si cette sauvegarde ne peut être démontrée, l'absence de plan de contingence réalisable peut devoir être reflétée dans les informations sur les risques dans les états financiers, en particulier pour les entités qui détiennent ou traitent des volumes importants d'actifs numériques.

Registre des risques TIC et assurance ISAE 3402 / SOC 2

Les cabinets d'audit fournissant une assurance sur les processus financiers crypto devront de plus en plus évaluer la posture de souveraineté numérique du logiciel de comptabilité d'actifs numériques utilisé par leurs clients. Les exigences de sous-traitance de DORA signifient que le cadre de risque tiers TIC du client s'étend désormais aux fournisseurs de logiciels qui alimentent le reporting réglementaire. Les auditeurs doivent s'attendre à voir des plans de sortie documentés, des preuves de portabilité des données et des droits d'audit contractuels dans le cadre de l'environnement de contrôle pour lequel ils sont appelés à attester.

Pour une vue plus large de la manière dont les superviseurs testent la résilience des TIC et de l'infrastructure de reporting des institutions financières européennes, le test de résistance 2027 de l'ABE couvrant IFRS 9 et la refonte de COREP/FINREP se situe aux côtés du programme de souveraineté numérique dans le même cadre de supervision vers la résilience opérationnelle et financière.

Mesures pratiques pour les cabinets comptables et les DAF

L'appel à l'action du document KPMG se traduit par un ensemble court de priorités concrètes pour les professionnels de la finance et de la conformité gérant des dépendances technologiques liées aux crypto.

Diligence raisonnable des fournisseurs : au-delà du questionnaire de sécurité

Les questionnaires de sécurité standard des fournisseurs capturent la posture de cybersécurité mais négligent généralement les dimensions de souveraineté que le document identifie. Un modèle de diligence raisonnable révisé pour les logiciels de comptabilité crypto devrait ajouter des questions sur : les formats de portabilité des données et les API d'exportation ; les délais de sortie contractuels et les obligations d'assistance à la résiliation ; la propre dépendance du fournisseur vis-à-vis des sous-traitants dans des juridictions non membres de l'UE ; la gouvernance des modèles d'IA lorsque les fonctions de classification ou d'alerte sont assistées par l'IA ; et la portée géographique des droits d'accès des forces de l'ordre ou des autorités de régulation auxquels le fournisseur est soumis.

Les entreprises évaluant leurs outils AML devraient également se référer à notre analyse précédente sur l'évaluation des fournisseurs d'analytique blockchain pour la conformité AML, qui couvre les risques de concentration et de qualité des résultats connexes dans la couche d'analytique de la chaîne.

Planification de sortie en tant que document vivant

DORA exige que les plans de sortie soient crédibles, pas théoriques. Pour une fonction financière crypto, un plan de sortie crédible signifie un processus documenté et testé pour migrer les données de transaction historiques, les enregistrements de base de coût et les pistes d'audit vers une plateforme alternative dans un délai défini. Ce plan doit être examiné au moins annuellement et testé par rapport à des scénarios réalistes, y compris l'insolvabilité du fournisseur, le retrait réglementaire de l'autorisation et la suspension de service motivée par la géopolitique.

Reporting au conseil et au comité d'audit

Le document KPMG identifie la souveraineté numérique comme un sujet de risque de concentration au niveau du conseil. Pour les DAF, cela signifie que la pile technologique financière crypto doit apparaître dans la section des risques TIC des rapports au conseil, avec des indicateurs de souveraineté aux côtés des indicateurs plus familiers de cybersécurité et de continuité des activités. Les comités d'audit supervisant les opérations d'actifs numériques devraient demander explicitement à la direction si les relations critiques avec les logiciels de comptabilité crypto ont des plans de sortie documentés qui répondent aux normes DORA.

L'application des licences MiCA déjà en cours dans toute l'UE, illustrée plus récemment par l'application des licences MiCA en Belgique, ajoute une dimension supplémentaire : les entreprises qui perdent l'accès à un CASP ou une plateforme comptable conforme en raison d'un événement réglementaire ou géopolitique doivent savoir, à l'avance, vers où elles se tourneront ensuite.

Quelle est la prochaine étape ?

Le document KPMG est un document consultatif, pas un instrument contraignant. Cependant, il a un poids significatif en tant que coproduction avec le bureau de la BCE, et ses recommandations reflètent étroitement le langage des normes techniques d'exécution de DORA et des priorités prudentielles de la BCE pour 2026 et au-delà. Les institutions qui traitent cela comme un signal d'un futur focus d'examen plutôt que comme un guide de bonnes pratiques volontaires lisent correctement l'environnement prudentiel.

Pour les cabinets comptables et les DAF, l'élément du calendrier à court terme est un examen des logiciels de comptabilité crypto et des logiciels de comptabilité d'actifs numériques utilisés dans l'organisation par rapport aux critères de classification et de placement que le document décrit. Cet examen devrait produire un résultat documenté : un registre des dépendances TIC critiques, une évaluation du risque de souveraineté pour chacune, et un plan de sortie lorsque le risque est jugé matériel. Faire ce travail maintenant, avant qu'il ne soit demandé par un superviseur ou un auditeur externe, est exactement le type de gouvernance proactive que la BCE recherche.

Source : KPMG Digital Assets / ECB Office

Questions fréquemment posées

La souveraineté numérique s'applique-t-elle aux cabinets comptables ou uniquement aux banques ?

Le document KPMG/BCE est destiné aux banques réglementées par la BCE, mais la logique de risque sous-jacente s'applique à toute organisation qui s'appuie sur une technologie tierce critique pour des processus financiers réglementés. Les cabinets comptables conseillant des institutions financières et les DAF gérant des fonctions de trésorerie ou de reporting crypto sont exposés aux mêmes risques de concentration et de sortie que le document décrit. DORA lui-même a une portée large qui s'étend au-delà des banques pour inclure les entités financières et leurs fournisseurs de services TIC.

Que requiert DORA spécifiquement pour les logiciels de comptabilité crypto ?

DORA exige des entités concernées qu'elles identifient les fournisseurs tiers de services TIC critiques et maintiennent des plans de sortie crédibles pour chacun. Si une plateforme de comptabilité ou de tenue de livres crypto est intégrée dans des processus de reporting critiques, elle est susceptible de qualifier comme service TIC critique. Les entreprises doivent documenter la dépendance, évaluer le risque de concentration et maintenir un plan de sortie testé qui inclut la portabilité des données et des calendriers de migration.

Héberger les données dans l'UE satisfait-il à l'exigence de souveraineté numérique ?

Pas à lui seul. Le document KPMG déclare explicitement que les opérations basées dans l'UE ne garantissent pas la souveraineté. Ce qui importe, c'est de savoir si l'institution conserve des droits de contrôle sur ses données, si elle peut extraire et migrer les données dans un format portable, si le chiffrement est sous le contrôle de l'institution et si des options de sortie contractuelles crédibles existent. La géographie est un facteur parmi plusieurs.

Comment un DAF devrait-il aborder les outils de comptabilité crypto open source dans ce cadre ?

Les outils open source peuvent réduire l'enfermement propriétaire, mais seulement si l'organisation a la capacité interne de les exploiter en toute sécurité sur l'ensemble de leur cycle de vie. Le document KPMG conditionne le bénéfice de souveraineté de l'open source à une propriété claire, une gestion structurée des correctifs, une gestion des vulnérabilités et un savoir-faire opérationnel suffisant. Un DAF envisageant un logiciel de comptabilité d'actifs numériques open source devrait évaluer si ces capacités internes existent avant de traiter l'open source comme une solution de souveraineté.

Que devraient demander les cabinets d'audit lors de l'examen des arrangements de logiciels de comptabilité d'actifs numériques d'un client ?

Les auditeurs devraient demander des preuves de plans de sortie documentés, de tests de portabilité des données, de droits d'audit contractuels et une évaluation des propres dépendances de sous-traitants du fournisseur. Lorsque les modèles d'IA influencent la classification des transactions ou les alertes de conformité, les auditeurs devraient également demander une documentation sur la gouvernance des modèles d'IA. Ces éléments devraient faire partie de l'examen des contrôles généraux informatiques pour toute mission où le logiciel de comptabilité crypto alimente les états financiers ou les rapports réglementaires faisant l'objet de l'assurance.