Risques opérationnels et de marché

Classer les risques avant de les mesurer

Le risque est la combinaison d’un événement incertain et de son impact potentiel sur les objectifs. Pour les entreprises du secteur des actifs numériques, une perte peut résulter d’une défaillance logicielle, des actions du personnel, d’interruptions de services externes, de pénuries de liquidités, d’une évolution juridique ou de mouvements de marché. Ces causes ne sont pas interchangeables. Un incident opérationnel peut entraîner une perte de marché ; un choc de marché peut révéler la faiblesse des contrôles opérationnels. La gestion des risques doit donc décrire la cause, l’exposition, les contrôles, les hypothèses de probabilité ou de scénario, l’impact et le risque résiduel après atténuation.

Le NIST Cybersecurity Framework (CSF) 2.0 fournit un cadre organisationnel volontaire comprenant les fonctions Govern, Identify, Protect, Detect, Respond et Recover. La publication spéciale 800-61 Revision 3 (2025) du NIST traite des considérations liées à la réponse aux incidents dans le cadre du CSF 2.0. Ces références sont utiles pour les cyberrisques, mais ne prouvent pas qu’un prestataire est sécurisé ou conforme à la loi. Les contrôles opérationnels nécessitent également une gestion d’entreprise, une responsabilité juridique et une assurance indépendante appropriée.

Défaillances opérationnelles et dépendances

Faiblesses humaines et des processus

Les défaillances opérationnelles comprennent les instructions de paiement erronées, une séparation insuffisante des tâches, des changements de configuration non autorisés, des rapprochements incomplets, des dossiers perdus et des procédures de reprise non testées. Un contrôle de séparation des tâches signifie qu’aucune personne ne peut à la fois lancer et approuver une action sensible sans les vérifications prévues. La définition claire des rôles est particulièrement importante pour les institutions qui transfèrent des actifs de clients, tiennent des registres financiers ou publient des rapports. Un enregistrement immuable sur une blockchain ne peut pas, à lui seul, corriger un processus d’approbation défectueux.

Le risque lié aux tiers apparaît lorsqu’une organisation dépend de l’hébergement infonuagique, d’infrastructures de négociation, de fournisseurs de données, de services de conservation ou de bibliothèques logicielles essentielles. Un accord de niveau de service établit des attentes contractuelles ; il ne garantit pas qu’un prestataire puisse résister à une interruption. La diligence raisonnable doit porter sur la sous-traitance, la résilience, la surveillance de la sécurité, la notification des incidents, les droits d’accès, les éléments de preuve d’audit et une stratégie de sortie. La concentration de nombreux services auprès d’un seul prestataire peut créer un point de défaillance commun, même si chaque service semble individuellement robuste.

Incidents cyber et limites du rétablissement

Les contrôles de sécurité visent à réduire à la fois la fréquence des incidents et leur impact. Les capacités habituelles comprennent la gestion des accès, l’examen des changements, la surveillance, les sauvegardes, les tests de restauration, les plans d’intervention et l’approbation indépendante des opérations à fort impact. Dans les activités liées aux actifs numériques, certains transferts non autorisés ne peuvent pas être annulés par les processus techniques ordinaires. La préparation doit donc inclure l’escalade auprès des institutions ou autorités concernées, la conservation des journaux et des faits relatifs aux transactions, ainsi que des communications crédibles avec les clients. La norme NIST SP 800-61 Rev. 3 encourage l’intégration de la réponse aux incidents dans une gestion des risques plus large, plutôt que d’attendre qu’un incident se produise.

Les risques de marché sans prévisions de prix

Volatilité, liquidité et glissement de prix

La volatilité correspond à l’ampleur des variations du prix de marché au fil du temps. La liquidité est la capacité de négocier sans faire varier sensiblement le prix ni devoir attendre trop longtemps. Le glissement de prix est l’écart entre le prix demandé ou attendu et le prix réellement obtenu lors de l’exécution. Un marché peut afficher un prix indicatif tout en présentant peu de profondeur exécutable. Les ordres importants, les conditions de tension ou les interruptions des échanges peuvent accroître le glissement de prix. Un analyste doit mesurer l’exposition à l’aide de scénarios observés et d’hypothèses documentées, et non promettre des résultats futurs stables.

Le risque de concentration existe lorsqu’une organisation dépend fortement d’un actif, d’une contrepartie, d’un emplacement ou d’un service. Le risque de contrepartie est la possibilité qu’une autre partie ne respecte pas une obligation contractuelle. Le risque de règlement concerne l’incapacité à livrer les espèces ou les actifs comme convenu. L’exposition au prix et le titre de propriété juridique ne sont pas la même chose : un client peut détenir une créance contractuelle sur un intermédiaire plutôt qu’un actif qu’il contrôle directement. De même, la valeur d’une garantie peut changer alors que l’obligation de prêt sous-jacente demeure, entraînant des tensions sur les marges même lorsque le logiciel fonctionne comme prévu.

Intégrité du marché et qualité de l’information

Les marchés peuvent être confrontés à des manipulations, à des informations trompeuses, à des conflits d’intérêts, au wash trading ou à des pannes qui nuisent à l’équité de l’exécution. Le wash trading consiste à effectuer des transactions qui donnent une impression trompeuse d’activité plutôt que de refléter une véritable demande économique ; les définitions juridiques et les éléments de preuve dépendent du marché et de la juridiction. Les volumes publiés ne font pas toujours l’objet d’un audit indépendant. Les professionnels doivent tenir compte de la provenance des données, des méthodologies, des plateformes de négociation, des activités entre parties liées et de la différence entre les prix publiés et les offres exécutables. L’International Organization of Securities Commissions (IOSCO) a publié 18 recommandations stratégiques pour les marchés des cryptoactifs et des actifs numériques en novembre 2023, portant sur les abus de marché, les conflits d’intérêts, la conservation, le risque opérationnel et la distribution aux particuliers.

Du registre des risques à l’action

Probabilité, impact et responsables désignés

Un registre des risques consigne un événement, un responsable, une exposition, un contrôle, une évaluation, une mesure d’atténuation et une date de révision. Les échelles qualitatives peuvent être utiles, mais leurs définitions doivent être cohérentes. Une évaluation « élevée » sans éléments probants ni processus décisionnel n’est guère plus qu’une étiquette. Utilisez plusieurs scénarios plausibles, notamment une panne d’un tiers lors d’un marché volatil, une congestion simultanée des paiements et une défaillance du processus d’approbation interne. Pour chaque scénario, demandez-vous comment il est détecté, quels services se poursuivent, qui peut agir et comment les clients et les autorités de réglementation reçoivent les communications requises.

Résilience et responsabilités d’intérêt public

La continuité des activités vise à maintenir les services essentiels pendant une perturbation ; la reprise après sinistre vise à rétablir les capacités à la suite d’un événement grave. L’objectif de délai de reprise (RTO) est le délai visé pour rétablir un service, et l’objectif de point de reprise (RPO) est la quantité de perte de données tolérée, exprimée en temps. Ce sont des paramètres de planification, pas des garanties. Certains enregistrements de transactions peuvent être reconstitués à partir de sources indépendantes, mais les dossiers d’identité des clients, les approbations et les correspondances avec le registre interne peuvent ne disposer d’aucun équivalent sur la chaîne. Les sauvegardes et la restauration doivent donc tenir compte de l’ensemble du processus opérationnel, et pas seulement des données du registre distribué.

Pour les gestionnaires et les agents du secteur public, la proportionnalité est essentielle. Un petit projet éducatif, un dépositaire institutionnel et un système public de paiement diffèrent par leur impact, leurs responsabilités et leur exposition. Chacun doit définir une appétence au risque et des seuils d’escalade documentés, adaptés à son rôle. Les organismes publics doivent en outre garantir la transparence, la passation légale des marchés, la confidentialité et la continuité des services essentiels. Les conseils d’administration doivent recevoir des indicateurs utiles à la prise de décision : incidents, contrôles en retard, tests de reprise, quasi-accidents, expositions importantes à la concentration et constats d’audit non corrigés.

Une dernière question utile est : « Si nos hypothèses privilégiées s’avèrent fausses, quels éléments prouvent que nous pouvons reconnaître le problème et protéger les personnes concernées ? » Cette question évite de prétendre que la technologie élimine les risques. Elle transforme une matrice générique des risques en engagement opérationnel, avec des responsables identifiés et des procédures testées.

Point à retenir pour l’examen : Distinguez les risques opérationnels, cyber, de liquidité, de contrepartie, de marché et juridiques ; interprétez le RTO et le RPO ; et reliez l’évaluation des risques à des responsables concrets, à des tests de contrôle, à des procédures d’escalade et aux décisions concernant le risque résiduel.