Assurance, résilience et assurance contre les pertes

Les clients, les auditeurs et les autorités de réglementation ne peuvent pas inspecter eux-mêmes le coffre-fort d’un dépositaire ni assister à ses cérémonies de gestion des clés. Ils s’appuient sur des rapports indépendants, des certifications, des exigences légales de résilience et des assurances, qui couvrent chacune moins que ne le laisse penser leur nom. Cette leçon explique ce que chacune démontre, comment les lire et comment les dépositaires se préparent à la perte d’un site, d’un prestataire ou d’une personne clé.

Assurance indépendante : rapports SOC

Les rapports System and Organization Controls (SOC) sont délivrés par des experts-comptables indépendants selon les normes de l’AICPA. Deux types sont importants pour la conservation :

• SOC 1 porte sur les contrôles pertinents pour l’information financière des clients, par exemple l’exactitude des soldes et des registres de transactions. Les auditeurs des clients s’appuient sur ce rapport. L’équivalent international est un rapport ISAE 3402.
• SOC 2 porte sur les contrôles associés aux Trust Services Criteria de l’AICPA : sécurité, disponibilité, intégrité du traitement, confidentialité et protection de la vie privée. La sécurité est toujours incluse ; les autres critères sont facultatifs. En dehors des États-Unis, des rapports comparables sont souvent délivrés selon la norme internationale ISAE 3000.

Chaque rapport existe en deux types. Un rapport Type I donne une opinion sur la conception adéquate des contrôles à une date donnée. Un rapport Type II vérifie également s’ils ont fonctionné efficacement pendant une période, généralement de six à douze mois. Pour un dépositaire, le rapport Type II est celui qui a une réelle valeur. Un rapport Type I indique seulement que les contrôles existaient sur le papier à un moment donné.

Pour lire un rapport SOC, il faut aller au-delà de l’opinion :

• Périmètre : systèmes, portefeuilles, sites et actifs inclus. Un rapport qui couvre la plateforme de conservation, mais pas le service de portefeuille chaud, laisse une lacune.
• Organisations de sous-traitance : selon la méthode de « carve-out », les prestataires clés, tels qu’un fournisseur MPC ou un centre de données, sont exclus ; il faut alors obtenir leurs propres rapports.
• Exceptions : tests révélant l’échec d’un contrôle et réponse de la direction.
• Contrôles complémentaires de l’entité utilisatrice (CUECs) : contrôles que le client doit mettre en œuvre lui-même, comme la protection de ses propres identifiants de connexion, pour que les contrôles du dépositaire fonctionnent.
• Période et lettre de continuité : si la période s’est terminée il y a plusieurs mois, demandez une lettre de continuité dans laquelle la direction confirme qu’il n’y a eu aucun changement important depuis.

La leçon Contrôles de l’information financière et audit explique comment les auditeurs utilisent ces rapports lors d’un audit des états financiers.

Certifications : ISO/IEC 27001 et CCSS

La norme ISO/IEC 27001 certifie un système de management de la sécurité de l’information (SMSI) : le processus par lequel une organisation évalue les risques, choisit les contrôles, les met en œuvre et les améliore. L’édition en vigueur, ISO/IEC 27001:2022, compte 93 contrôles dans l’annexe A. La période de transition depuis l’édition 2013 s’est terminée le 31 octobre 2025 ; les certificats doivent donc désormais faire référence à l’édition 2022. Les certificats sont valables trois ans, avec des audits de surveillance annuels. La déclaration de périmètre figurant sur le certificat est déterminante : un certificat couvrant le « développement logiciel à Lisbonne » ne dit rien sur les opérations de gestion des clés à Zurich.

Le CryptoCurrency Security Standard (CCSS) est la seule norme largement utilisée qui a été conçue spécifiquement pour les systèmes détenant des cryptomonnaies. Elle est publiée par le CryptoCurrency Certification Consortium (C4), une organisation à but non lucratif, et maintenue par un comité directeur communautaire. Elle couvre la génération, le stockage et l’utilisation des clés, la création de portefeuilles, la réponse à la compromission d’une clé, l’octroi et la révocation des accès des détenteurs de clés, les journaux d’audit et les opérations connexes. Le CCSS certifie des systèmes, et non des entreprises entières, aux niveaux 1, 2 ou 3, le niveau 3 étant le plus exigeant. Les évaluations sont réalisées par des auditeurs certifiés CryptoCurrency Security Standard (CCSSA). La version 9, publiée en décembre 2024, a ajouté des exigences relatives à la gestion des clés pour la DeFi et les contrats intelligents, à la gouvernance et à la modélisation des menaces, à la sécurité physique et à la formation du personnel chargé de la gestion des clés.

La résilience opérationnelle comme obligation réglementaire

La résilience opérationnelle est la capacité à continuer de fournir des services critiques en cas de perturbation, qu’il s’agisse d’une cyberattaque, de la défaillance d’un prestataire ou de la perte d’un site. Les autorités de contrôle la considèrent de plus en plus comme une obligation légale plutôt que comme une bonne pratique. Le socle international est constitué des Principes de résilience opérationnelle du Comité de Bâle (mars 2021), complétés par les travaux du Conseil de stabilité financière (FSB) sur les risques liés aux tiers et la déclaration des incidents. Les règles nationales diffèrent dans le détail ; le règlement européen sur la résilience opérationnelle numérique (DORA), par exemple, s’applique aux entités financières, y compris aux prestataires de services sur crypto-actifs agréés. La plupart des régimes reposent sur cinq éléments fondamentaux :

1. Gestion des risques liés aux TIC, sous la responsabilité du conseil d’administration : recenser les services critiques et déterminer le niveau de perturbation que chacun peut tolérer (une tolérance à l’impact), puis protéger, détecter, réagir, rétablir et conserver des sauvegardes testées.
2. Déclaration des incidents : les incidents majeurs doivent être signalés rapidement à l’autorité de contrôle, généralement par une notification initiale dans les heures qui suivent, puis par des rapports intermédiaires et finaux. Le Format for Incident Reporting Exchange (FIRE) du FSB, publié en avril 2025, propose un ensemble commun de données afin que les entreprises qui déclarent des incidents dans plusieurs pays puissent réutiliser un seul format.
3. Tests de résilience : tests réguliers des plans de continuité, analyse des vulnérabilités, exercices fondés sur des scénarios et, pour les grandes entreprises, tests d’intrusion guidés par les menaces, dans lesquels une équipe rouge simule un véritable attaquant.
4. Risques liés aux tiers : registre des prestataires technologiques, clauses contractuelles (droits d’audit, lieux de prestation, notification des incidents, plans de sortie) et attention portée à la concentration sur un petit nombre de prestataires. La boîte à outils du FSB sur la gestion des risques liés aux tiers, publiée en décembre 2023, définit des attentes communes.
5. Partage d’informations sur les cybermenaces entre les entreprises financières.

Pour un dépositaire, les fournisseurs MPC, les prestataires de HSM en tant que service, les fournisseurs de nœuds de blockchain et les plateformes cloud sont des tiers critiques. Si l’un d’eux tombe en panne, les retraits peuvent être bloqués ; chacun doit donc faire l’objet d’un contrat prévoyant des modalités de sortie et d’un plan testé pour poursuivre les activités sans lui.

Sauvegarde et reprise après sinistre des clés

Un dépositaire doit pouvoir rétablir sa capacité de signature après la perte d’un site, d’appareils ou d’un prestataire, sans créer une nouvelle possibilité de vol des clés.

Les bonnes pratiques incluent le fractionnement des sauvegardes afin qu’aucune personne ne détienne seule une sauvegarde utilisable (fragments Shamir, SLIP-39 ou domaines de sauvegarde HSM), conservées dans des conteneurs inviolables situés dans des lieux distincts. Le quorum de reprise devrait être différent du quorum de signature quotidien. Les exercices de reprise, réalisés au moins une fois par an, devraient démontrer que les sauvegardes permettent effectivement de restaurer des clés fonctionnelles. Une sauvegarde qui n’a jamais été testée n’est qu’un espoir. Chaque niveau de portefeuille devrait avoir des objectifs de délai de reprise définis : quelques heures pour les portefeuilles chauds, peut-être quelques jours pour le stockage à froid.

Continuité des activités et risque lié à une personne clé

Le risque lié à une personne clé est le danger que la perte d’une personne, par décès, maladie, départ ou contrainte, coupe l’accès aux actifs. La faillite de QuadrigaCX après le décès de son fondateur (voir la leçon Risque de contrepartie et preuve de réserves) en est l’exemple classique. Mesures de contrôle : aucune personne ne doit être indispensable, les procédures doivent être documentées et mises en pratique par d’autres, chaque dépositaire de clés doit avoir un remplaçant et les quorums doivent être conçus pour supporter la perte de membres.

Les particuliers, les bureaux de gestion de patrimoine familial et les petites entreprises font face au même problème dans le cadre de la succession. Les héritiers et les exécuteurs testamentaires doivent savoir que les actifs existent et comment y accéder, sans que quiconque puisse les récupérer prématurément. Les solutions courantes comprennent une lettre d’instructions conservée par un avocat, un portefeuille multisignature dont un dépositaire professionnel ou un avocat détient une clé, ou une procédure de récupération à verrouillage temporel. Une phrase de récupération ne devrait pas être inscrite dans un testament, car dans de nombreuses juridictions, les testaments deviennent publics pendant la procédure d’homologation.

L’assurance contre les pertes et ses limites

Les dépositaires souscrivent plusieurs types de couverture : assurance des espèces et valeurs (actifs dans des coffres ou en stockage à froid), assurance contre les actes criminels ou de fidélité (vols, y compris ceux commis par des employés), assurance cyber (frais liés aux incidents, excluant souvent les cryptomonnaies elles-mêmes) et responsabilité professionnelle. Les polices valent moins que ne le suggèrent leurs montants affichés :

• La capacité est faible par rapport aux actifs conservés, et les plafonds sont généralement globaux : ils sont partagés entre tous les clients, et non attribués à chaque client.
• Les portefeuilles chauds sont souvent exclus ou soumis à des sous-plafonds stricts.
• Les exclusions courantes comprennent les pertes dues à la compromission des identifiants du client lui-même, à l’ingénierie sociale visant le personnel, à une défaillance du protocole ou du contrat intelligent et, dans certaines polices, à la guerre ou aux attaques commanditées par un État. Cette dernière exclusion est importante lorsque des attaques sont attribuées à des acteurs étatiques, comme TraderTraitor de Corée du Nord.
• Le client n’est généralement pas l’assuré : la police indemnise le dépositaire, et le remboursement du client dépend de la responsabilité du dépositaire aux termes du contrat de conservation.

Questions à poser : qui sont les assureurs, quel est le plafond et est-il global, quels niveaux de portefeuille sont couverts, quelles sont les principales exclusions, quelle est la franchise et est-il possible de partager une attestation d’assurance.

Points clés pour l’examen : SOC 1 versus SOC 2, Type I versus Type II, et comment lire le périmètre, les exclusions de sous-traitants, les exceptions, les CUECs et les lettres de continuité ; ce que certifie ISO/IEC 27001 (SMSI, déclaration de périmètre, édition 2022) ; CCSS (C4, systèmes et non entreprises, niveaux 1 à 3, CCSSA) ; les éléments fondamentaux de la réglementation sur la résilience opérationnelle (principes du Comité de Bâle, tolérances à l’impact, déclaration des incidents, tests de résilience, risques liés aux tiers et plans de sortie) ; sauvegarde des clés, exercices de reprise et plans en cas de défaillance d’un prestataire ; risque lié à une personne clé et risque successoral ; pourquoi l’assurance de conservation est limitée (plafonds globaux, exclusions concernant les portefeuilles chauds et l’ingénierie sociale, client non assuré).