Le règlement européen sur la résilience opérationnelle numérique (DORA) est entré en application le 17 janvier 2025. Dix-huit mois plus tard, le sujet a changé de nature : les autorités nationales — l’ACPR pour la banque et l’assurance, l’AMF pour les marchés financiers — sont entrées en phase de contrôle approfondi. Ce qui était un chantier de mise en conformité devient un régime permanent.
Ce que DORA exige réellement
Le règlement impose quatre blocs d’obligations : une gestion rigoureuse des risques liés aux technologies de l’information et de la communication, des tests de résilience opérationnelle réguliers, une supervision des prestataires informatiques critiques, et un mécanisme de notification des incidents cyber.
Pris séparément, aucun de ces blocs n’est révolutionnaire pour un établissement mature. C’est leur combinaison — et surtout leur fréquence — qui change la donne.
Le vrai basculement : de la photo au film
La lecture la plus utile de DORA n’est pas juridique, elle est opérationnelle. Le règlement exige une gouvernance vivante : une cartographie exhaustive et actualisée des actifs numériques, des politiques évolutives de prévention, de continuité d’activité et de gestion de crise.
Le mot qui compte est « actualisée ». Une cartographie juste au moment de l’audit mais figée ensuite ne satisfait pas l’exigence. DORA impose un changement de posture : sortir d’une logique de conformité ponctuelle pour installer une résilience opérationnelle durable.
C’est exactement la définition d’un dispositif d’amélioration continue. Les établissements qui disposaient déjà d’une culture Lean sur leurs processus opérationnels ont un avantage net : ils savent faire vivre un référentiel, mesurer des écarts, boucler des plans d’action. Ceux qui ont traité DORA comme un projet à date de fin redécouvrent chaque trimestre que le référentiel a dérivé.
| Approche « projet » | Approche « amélioration continue » |
|---|---|
| Cartographie réalisée une fois | Cartographie mise à jour à chaque changement d’architecture |
| Tests planifiés avant l’audit | Cycle de tests intégré au calendrier opérationnel |
| Registre prestataires figé | Revue périodique déclenchée par les événements contractuels |
| Conformité portée par un chef de projet | Responsabilités intégrées aux processus métier |
L’IA ajoute une couche, pas une exception
En parallèle, l’intelligence artificielle s’installe dans les fondations du secteur : conformité, risque de crédit, automatisation des processus les plus lourds. L’IA agentique — des agents qui exécutent des tâches de bout en bout plutôt que de simplement répondre — promet de libérer du temps sur les tâches routinières pour le reporter sur le conseil client et les cas complexes.
Mais les questions de gouvernance, de conformité et de confidentialité restent le principal frein au déploiement. Et du point de vue de DORA, un agent IA intégré à un processus critique est un actif numérique comme un autre : il entre dans la cartographie, dans le périmètre des tests, et dans la chaîne de dépendance aux prestataires.
Ce que ça change pour vous
- Vérifiez la date de dernière mise à jour de votre cartographie d’actifs TIC. Si elle remonte à la campagne de mise en conformité initiale, c’est le premier écart qu’un contrôle relèvera.
- Rattachez DORA à votre dispositif d’amélioration continue plutôt qu’à un projet dédié : indicateurs, revues périodiques, responsabilités portées par les processus métier.
- Intégrez vos cas d’usage IA au périmètre de résilience dès la phase de cadrage, et non après la mise en production — y compris les agents fournis par un tiers.
Helios Advisory accompagne les acteurs de la banque et de l’assurance sur la transformation digitale et l’amélioration continue de leurs opérations. Découvrez nos services.
Sources
- DORA 2026 : se conformer à la réglementation européenne — Elitek
- DORA 2026 : cybersécurité et gouvernance bancaire — Haas Avocats
- L’IA agentique dans la banque et l’assurance — Earnix
- IA & Banque : innovation technologique et exigences réglementaires — Capgemini Institut
Laisser un commentaire