RSSI externe et gouvernance de la sécurité pour institutions financières

La gouvernance de la sécurité est devenue l'affaire du conseil

Sur le risque TIC et cyber, le superviseur ne s'adresse plus à la seule informatique, mais à l'organe de direction lui-même. DORA et la FINMA ancrent la responsabilité là où se prennent les décisions stratégiques.

DORA confie expressément la responsabilité ultime du cadre de risque TIC à l'organe de direction. L'organe de direction approuve la stratégie de risque TIC, en contrôle la mise en œuvre et doit maintenir ses connaissances continuellement à jour. La responsabilité ne peut être entièrement déléguée, elle reste auprès de l'organe au sommet. Pour les institutions suisses, DORA ne s'applique généralement pas directement, mais souvent indirectement, par exemple via des succursales et filiales dans l'UE ou via des contrats avec des entités financières régulées dans l'UE. Selon que DORA s'applique directement ou indirectement, nous vérifions au cas par cas pour chaque institution.

La FINMA ancre le même principe sous l'angle prudentiel. La circulaire FINMA 2023/01 sur les risques opérationnels et la résilience des banques est en vigueur et s'applique aux établissements surveillés par la FINMA. Elle attend du conseil d'administration et de la direction qu'ils pilotent les risques opérationnels et la résilience opérationnelle, ce qui inclut les risques TIC, les cyber-risques et la gestion des processus métier critiques. Le superviseur veut voir que l'organe suprême a une vue d'ensemble et décide sur la base d'une information solide.

En pratique, cela signifie : vous avez besoin d'un rôle de sécurité clairement attribué, d'un modèle de gouvernance avec des responsabilités définies, d'un ensemble de politiques tenu à jour et d'un reporting qui donne au conseil une image compréhensible et prête pour l'audit de la posture de sécurité. Ce sont précisément les briques qui manquent à de nombreuses institutions, ou qui sont éparses et difficiles à démontrer lors d'un dialogue prudentiel.

• Un rôle de sécurité clairement attribué (RSSI ou ISO) avec mandat et voie d'escalade vers l'organe de direction
• Un modèle de gouvernance avec des responsabilités définies sur les trois lignes de défense
• Un ensemble de politiques tenu à jour pour la sécurité de l'information, le risque TIC et le cyber
• Des KPI et KRI qui rendent la posture de sécurité mesurable et reflètent le niveau d'appétence au risque
• Un reporting régulier et destiné au conseil, à l'attention du conseil d'administration et de la direction
• Une documentation destinée au régulateur qui résiste dans le dialogue FINMA et en audit interne

Comment nous livrons votre gouvernance de la sécurité

Vous obtenez un rôle de sécurité pourvu et une ossature de gouvernance qui rend la responsabilité de l'organe de direction visible et prête pour l'audit. Nos conseils restent indépendants car nous ne vendons pas de SOC propre.

Nous assumons le mandat en tant que RSSI externe ou responsable de la sécurité de l'information (ISO). Vous obtenez une personne nommée et joignable, avec une mission claire, des délais de réponse définis et une ligne de reporting fixe vers l'organe de direction. Le vCISO travaille en étroite collaboration avec votre informatique, vos fonctions risque et conformité et l'audit interne, et occupe le rôle de sécurité sans que vous deviez créer immédiatement un poste à temps plein.

Nous construisons un cadre de gouvernance de la sécurité adapté à FINMA et à DORA. Cela comprend le modèle de rôles et de responsabilités sur les trois lignes de défense, un ensemble de politiques pour la sécurité de l'information, le risque TIC et le cyber, ainsi que l'articulation avec votre gestion du risque TIC et votre gestion des tiers. Nous alignons le cadre sur des standards reconnus comme ISO 27001, de sorte que la gouvernance et un futur SMSI partagent la même base.

Nous définissons des KPI et des KRI qui rendent la posture de sécurité mesurable et mettons en place une cadence de reporting. Le conseil reçoit un tableau de bord compréhensible avec la posture de risque, les mesures ouvertes, les incidents et les tendances, complété par les points pertinents sur le plan réglementaire. Cela permet à l'organe de direction d'exercer son devoir de surveillance et de fonder ses décisions sur une information solide plutôt que sur des bruits de couloir.

Nous tenons toutes les preuves dans la plateforme Priverion-Plattform : politiques, rôles, risques, mesures, KPI/KRI et rapports au conseil sont versionnés à un seul endroit et exportables. Lorsque l'audit interne ou la FINMA le demande, la gouvernance est démontrée, à jour et prête pour l'audit. Pour les prestations purement opérationnelles comme la surveillance 24/7 ou une réponse aux incidents managée, nous coordonnons au besoin des partenaires spécialisés, ce qui garde nos recommandations indépendantes.

Pourquoi SIDD pour votre gouvernance de la sécurité

Le reporting au conseil sur le risque TIC et cyber combine droit, surveillance et technique. Nous couvrons précisément cette combinaison auprès d'un seul partenaire, en plusieurs langues et de façon indépendante.

Deux voies vers une gouvernance de la sécurité prête pour l'audit

Questions fréquentes

Étapes suivantes adaptées

Votre gouvernance de la sécurité s'articule étroitement avec le rôle de sécurité, le SMSI et la gestion du risque TIC :