Le service de supervision financière sud-coréen a annoncé, le 29, de nouvelles lignes directrices exigeant que les conseils d’administration et la direction des sociétés financières assument la responsabilité finale des risques liés à la sous-traitance de services informatiques, y compris les incidents de piratage chez des fournisseurs tiers. Le SFS a élaboré ce cadre en collaboration avec des associations professionnelles de l’ensemble des secteurs financiers afin de répondre à la montée des risques informatiques tiers, alors que la digitalisation pousse davantage d’entreprises à externaliser leurs opérations de traitement de l’information. Les lignes directrices visent à renforcer la protection des consommateurs face à l’augmentation des dépendances informatiques externes, avec une mise en œuvre prévue en novembre ou ultérieurement, après adoption des codes spécifiques à chaque secteur.
Le SFS établit la responsabilité du conseil d’administration pour les risques informatiques tiers
Le SFS a explicitement désigné les conseils d’administration comme portant la responsabilité finale de la gestion des risques informatiques tiers. Les lignes directrices imposent que les politiques de gestion des risques et les questions majeures de supervision fassent l’objet de délibérations et de décisions du conseil. La direction est désignée comme l’entité responsable de la mise en place, de l’exécution et du maintien du système de gestion des risques informatiques tiers, avec l’obligation d’exploiter un département de gestion centralisé. Ce département doit formuler et exécuter des mesures de sécurité efficaces, superviser l’état de la sous-traitance du traitement de l’information entre les unités opérationnelles, et évaluer l’état des risques informatiques tiers ainsi que l’adéquation des contrats.
Les sociétés financières tenues de mettre en œuvre un système de contrôle en trois niveaux
Les institutions financières doivent établir et exploiter un système de contrôle en trois niveaux comprenant un département de gestion centralisé, un département de gestion des risques et un département d’audit interne afin de gérer de manière systématique les risques informatiques tiers. Les entreprises doivent identifier la solidité financière des tiers et les informations opérationnelles clés, notamment les services fournis, les types et volumes d’informations traitées, les méthodes de chiffrement et de communication, les systèmes de réponse aux incidents, ainsi que les installations de calcul. Des inspections régulières (au moins une fois par semestre) sont requises pour conserver des informations à jour. Les sociétés financières doivent également désigner séparément les « principaux tiers », qui ont un impact significatif sur les opérations ou les consommateurs, en leur appliquant une gestion des risques renforcée.
![Third-Party IT Risk Management Framework]()
Source : Financial Supervisory Service
Les lignes directrices fournissent des éléments d’évaluation spécifiques et des listes de contrôle afin d’évaluer efficacement les risques informatiques pour chaque tiers. Pour les risques identifiés, les entreprises doivent mettre en œuvre des mesures supplémentaires, et lorsque le contrôle, l’atténuation ou le transfert se révèlent impossibles, les contrats doivent être résiliés ou le conseil doit décider de la poursuite.
Procédures normalisées de gestion du risque sur le cycle de vie des contrats
Le SFS a systématisé les procédures de gestion des risques à travers les étapes du contrat afin de permettre l’identification proactive et la réponse aux risques informatiques tiers. Les exigences avant contrat incluent la vérification, via des inspections sur site, des capacités de service et des systèmes de gestion de la protection de l’information, ainsi que la prise en compte, dans les contrats, de sujets essentiels, y compris la répartition des rôles entre la partie sous-traitante et la partie contractante, ainsi que les relations de responsabilité en cas d’incidents. Pendant la période du contrat, les entreprises doivent inspecter régulièrement le statut de mise en œuvre (au moins une fois par an) et préparer des plans de contingence pour les interruptions de système, des systèmes de gestion des sauvegardes pour la continuité des activités, et des stratégies de sortie en cas de résiliation du contrat.
![Contract Stage Risk Management Process]()
Source : Financial Supervisory Service
Les procédures après résiliation du contrat comprennent le retour des actifs d’information, la révocation des privilèges d’accès, et la garantie d’une destruction complète des données.
Les associations professionnelles appliqueront les lignes directrices à partir de novembre
Les associations professionnelles de l’ensemble des secteurs financiers établiront des codes de bonnes pratiques sur la base de ces lignes directrices pour une mise en œuvre en novembre ou ultérieurement. Les lignes directrices présentent des normes minimales et des principes de gestion des risques informatiques tiers, permettant aux sociétés financières de les appliquer de manière flexible en renforçant ou en assouplissant certains éléments selon l’importance et le niveau de risque des opérations externalisées de traitement de l’information. Un responsable du SFS a déclaré que l’agence inspectera et évaluera le statut de mise en œuvre des lignes directrices avec les associations professionnelles, tout en améliorant en continu et en complétant les lacunes pour une avancée continue.
FAQ
Que le Financial Supervisory Service a-t-il annoncé le 29 concernant la sous-traitance IT ?
Le SFS a annoncé de nouvelles lignes directrices exigeant que les conseils d’administration et la direction des sociétés financières assument la responsabilité finale des risques informatiques tiers, y compris les incidents de piratage chez des fournisseurs externes. Le cadre a été élaboré avec des associations professionnelles pour traiter les risques liés à l’augmentation de la sous-traitance IT alors que la digitalisation du secteur financier s’accélère.
Quand les sociétés financières mettront-elles en œuvre les nouvelles lignes directrices sur les risques informatiques tiers ?
Les associations professionnelles établiront des codes de bonnes pratiques sur la base des lignes directrices du SFS pour une mise en œuvre en novembre ou ultérieurement. Les entreprises doivent faire fonctionner des systèmes de contrôle en trois niveaux et réaliser des inspections régulières au moins deux fois par an pour le suivi général, et au moins une fois par an pour le statut de mise en œuvre des contrats.
