Pourquoi la résilience opérationnelle est-elle une préoccupation macro ?

Réponse courte

Jusqu’à récemment, le « risque opérationnel » vivait dans une note de bas de page des rapports annuels bancaires à côté des dépenses légales et des pannes IT. Le cadre de supervision le traitait comme quelque chose que les firmes gèrent en interne, avec des buffers de capital calculés sous des formules Bâle conçues pour des pertes de mode de défaillance, pas pour des disruptions de réseau en cascade.

Ce cadrage n’a pas survécu au contact avec la réalité. La cyberattaque NotPetya de 2017 a coûté à Maersk environ 300 M$ ; les événements SolarWinds et Colonial Pipeline de 2021 ont montré comment les chaînes d’approvisionnement logicielles tierces créent des surfaces d’attaque ; le ransomware sur ICBC Financial Services de novembre 2023 a révélé que même une filiale relativement petite, positionnée au bon endroit dans la chaîne de règlement Treasury, peut perturber l’un des marchés les plus profonds du monde.

Les régulateurs—la Fed, la Banque d’Angleterre, la BCE via DORA—ont répondu par de nouveaux cadres de résilience opérationnelle qui reconnaissent explicitement cette dimension de réseau. La question macroprudentielle est de savoir si ces cadres sont suffisants au regard de la topologie réelle de l’infrastructure financière moderne.

→ Nouveau sur les cadres de risque systémique ? Cadre risque systémique

Ce que disent les données

L’événement ICBC Financial Services de novembre 2023 fournit le cas empirique le plus clair de risque opérationnel devenu macro.

Le contexte chiffré (Treasury Department, divulgations BNY Mellon, règlement SEC décembre 2024) :

• Vecteur d’attaque : un affilié du ransomware LockBit a exploité une vulnérabilité Citrix récemment divulguée (CitrixBleed) pour chiffrer les systèmes d’ICBC Financial Services le 8 novembre 2023
• Échelle d’ICBC FS : seulement 24,5 Md$ d’actifs—pas un broker-dealer top-20—mais positionné comme intermédiaire clé dans le repo et la compensation Treasury US
• Réponse d’urgence : injection de 9 Md$ de capital depuis le siège ICBC à Pékin pour couvrir les trades Treasury non réglés chez BNY Mellon, banque de compensation
• Impact marché : le volume des fails repo Treasury est monté à 62,2 Md$ dans la semaine de l’événement—un pic pluriannuel—et la liquidité cash Treasury s’est brièvement resserrée
• Échelle du marché Treasury : environ 26 000 Md$ de dette US en circulation ; le volume quotidien Treasury dépasse 700 Md$ en moyenne. ICBC FS représentait une part directe minuscule mais un nœud de traitement critique
• Règlement SEC (décembre 2024) : ICBC Financial Services a accepté un règlement sans pénalités civiles, citant la coopération ; la SEC a noté que la firme n’avait pas maintenu de contrôles cyber et opérationnels adéquats

L’exception est le pattern plus large : la plupart des incidents cyber dans les firmes financières restent contenus à la firme elle-même ; le cas ICBC est significatif précisément parce qu’il a franchi le seuil de la disruption firme-vers-système.

→ Dataset : Indice de conditions financières

Pourquoi cela se produit — le mécanisme macro

La transmission d’une disruption opérationnelle d’une firme unique à un segment de marché passe par trois canaux structurels.

Positionnement de nœud critique. Les marchés financiers modernes dépendent d’un petit ensemble de banques de compensation (BNY Mellon et JPMorgan en repo Treasury et tri-party US), chambres de compensation centrales (DTCC, CME, ICE), systèmes de paiement (Fedwire, CHIPS, TARGET2) et utilitaires de messagerie (SWIFT). Même de petites firmes qui interagissent directement avec ces nœuds peuvent perturber leur débit. ICBC Financial Services était petite en bilan mais critique dans le règlement Treasury—et la disruption s’est propagée immédiatement.

Time-criticality et irréversibilité. Les transactions financières ont des deadlines de règlement strictes (T+0, T+1, T+2) et des conséquences irréversibles une fois exécutées. Une attaque ransomware qui empêche ICBC de confirmer ses trades Treasury pendant 48 heures force les contreparties au statut fail-to-deliver, déclenche des appels de marge en chambre de compensation et peut cascader en stress de liquidité chez les firmes qui dépendaient des règlements échoués. L’angle que la couverture rate : en risque opérationnel, la position dans le réseau l’emporte sur la taille du bilan comme mesure de pertinence systémique—un broker-dealer de 24,5 Md$ a perturbé un marché de 26 000 Md$ par sa position dans la plomberie de règlement.

La convergence cyber-physique du cloud computing, des dépendances logicielles tierces et des infrastructures partagées (pannes Azure de Microsoft, mise à jour kernel Crowdstrike de juillet 2024) aggrave cette exposition.

Coût de récupération et coordination. Le coût de récupération d’une disruption n’est pas payé uniquement par la firme affectée. Les contreparties supportent des coûts de timing et de financement ; les banques centrales peuvent devoir fournir des passerelles de liquidité ; les régulateurs font face à des fenêtres de décision compressées. Comme discuté pour le shadow banking, le cadre réglementaire a été conçu pour une topologie de risque différente.

Synthèse par régime. En régimes stables (l’essentiel de la période post-2010 jusqu’en 2022), les événements opérationnels chez des firmes individuelles arrivaient régulièrement mais ne se propageaient pas aux marchés ; l’attention de la supervision se concentrait sur la résilience au niveau firme. En régime de stress (NotPetya 2017, ICBC 2023, Crowdstrike juillet 2024), les mêmes événements opérationnels se sont propagés via l’infrastructure interconnectée, nécessitant une réponse d’urgence de banque centrale ou de grande banque. Le pivot est typiquement une coïncidence entre disruption firme-niveau et positionnement de nœud critique, pas un choc macro ; la leçon est que le risque opérationnel est désormais corrélé à la structure de marché, pas indépendant d’elle.

Une firme de 24,5 Md$ a perturbé un marché de 26 000 Md$ parce que c’est désormais la position dans le réseau—pas les actifs au bilan—qui définit la pertinence systémique.

→ Cadre : Innovation financière, infrastructure et risque systémique

Ce que cela signifie pour les acteurs économiques

Banques et broker-dealers. La policy de résilience opérationnelle de la Banque d’Angleterre (effective mars 2025), les Heightened Standards de la Fed (2014, mis à jour 2022) et le Digital Operational Resilience Act de l’UE (DORA, applicable janvier 2025) imposent aux firmes d’identifier les « important business services », de fixer des « impact tolerances » et de stress-tester la capacité à maintenir ces services à travers les disruptions. Les coûts de compliance ont substantiellement monté.

Fournisseurs d’infrastructure critique. DTCC, CCP, systèmes de paiement et utilitaires de messagerie ont toujours été reconnus comme systémiquement importants, mais la couche de risque cyber et opérationnel a gagné une nouvelle attention. Le Financial Market Infrastructure Act britannique de 2023 étend explicitement la supervision de la Banque d’Angleterre aux fournisseurs tiers critiques (cloud et software).

Assureurs et fonds de pension. Les marchés de cyber-assurance se sont matériellement durcis depuis 2020 alors que les sinistres ransomware augmentaient. Les exclusions de couverture se sont élargies ; certains fonds de pension ont arrêté d’inclure la cyber-assurance dans leurs stratégies de transfert de risque. La question de risque systémique est de savoir si le risque résiduel est tenu aux bons endroits.

Une erreur fréquente consiste à traiter le risque cyber et opérationnel comme un sujet de compliance principalement firme-niveau. L’épisode ICBC a montré comment il peut devenir rapidement marché-niveau quand un nœud se trouve dans l’infrastructure critique.

Observation pratique

Pour aller plus loin

Questions associées

• Qu’est-ce que le shadow banking ?
• Risques de la domination du trading algorithmique ?
• Qu’est-ce que les arrangements de prime brokerage ?
• Pourquoi le marché repo compte-t-il pour la stabilité financière ?

Questions fréquentes

Comment une firme de 24,5 Md$ a-t-elle pu perturber un marché de 26 000 Md$ ?

ICBC Financial Services était petite en bilan mais opérait comme un intermédiaire majeur dans le repo et la compensation Treasury US, particulièrement pour les trades impliquant des contreparties asiatiques. Sa connexion à BNY Mellon (la banque de compensation Treasury US dominante) et aux marchés Treasury cash et futures signifiait qu’une panne opérationnelle de 48 heures empêchait la confirmation de trades que d’autres firmes comptaient régler. Le volume des fails repo est monté à 62,2 Md$ dans la semaine affectée, et la maison-mère d’ICBC a dû virer 9 Md$ depuis Pékin vers Bank of New York Mellon pour couvrir les positions. L’épisode a été contenu car la disruption s’est terminée en quelques jours ; une panne plus longue au même nœud aurait produit un stress de marché plus visible.

Pourquoi le risque opérationnel était-il auparavant traité au niveau firme plutôt que macro ?

La charge de capital pour risque opérationnel du cadre Bâle (sous l’Advanced Measurement Approach de Bâle II, puis l’Standardized Approach de Bâle III) a été conçue pour absorber les pertes attendues et inattendues d’une firme unique—dépenses légales, pannes IT, fraude. La propagation en réseau était implicitement supposée soit limitée, soit traitée via la résilience au niveau firme. La vague post-2017 d’événements cyber (NotPetya, WannaCry, SolarWinds, Colonial Pipeline, Crowdstrike, ICBC) a révélé que cette hypothèse tient dans beaucoup de cas mais s’effondre quand une firme se trouve à un nœud d’infrastructure critique. Les cadres réglementaires (UK Operational Resilience policy 2022-2025, EU DORA 2025, heightened standards Fed/OCC) ont évolué pour traiter cela.

Les fournisseurs cloud et logiciels tiers sont-ils désormais systémiquement importants ?

De plus en plus. L’incident de mise à jour kernel Crowdstrike de juillet 2024 a immobilisé des milliers de vols, a fait tomber des systèmes hospitaliers et a affecté des firmes financières globalement ; l’attaque LockBit sur ICBC a utilisé une vulnérabilité Citrix. Le Financial Services and Markets Act britannique de 2023 (Partie 9) donne à la Banque d’Angleterre le pouvoir de désigner des « critical third parties » pour supervision directe, et le DORA de l’UE inclut des mécanismes parallèles. La question macroprudentielle est de savoir si la supervision des fournisseurs cloud (AWS, Microsoft Azure, Google Cloud) et des éditeurs de logiciels (Microsoft, Oracle, Salesforce, Crowdstrike) a rattrapé leur rôle systémique réel—la réponse reste contestée.

Mis à jour le 23 juillet 2026