CSSF et architecture d’entreprise : documenter l’IT, la sous-traitance et la résilience

Les attentes de documentation d’une entité supervisée

Une banque, un PSF, une entreprise d’investissement ou un acteur des fonds établi au Luxembourg et supervisé par la CSSF doit pouvoir montrer le fonctionnement de ses systèmes d’information. Les attentes portent sur la gestion du risque IT, sur les arrangements de sous-traitance et de services TIC, et sur la résilience opérationnelle.

Ce texte aide à préparer la documentation ; il ne constitue pas un conseil juridique. Il ne cite pas de numéros de circulaire : le texte applicable et sa portée pour votre type d’entité relèvent de votre fonction conformité et d’un conseil qualifié.

Une base commune : capacités, applications, flux et tiers

Risque IT, sous-traitance et résilience semblent relever de dossiers distincts, tenus par des équipes distinctes. Ils supposent la même connaissance. La supervision d’un arrangement demande de savoir quelle fonction il soutient. La résilience d’une fonction critique se démontre quand ses dépendances sont connues.

Cette connaissance se trouve souvent en plusieurs endroits : une CMDB, des schémas dans un wiki, un registre de sous-traitance à la conformité, des contrats au juridique, des niveaux de criticité dans une présentation. Le référentiel d’architecture les relie dans un même modèle, objet par objet, avec un responsable pour chacun.

Capacités, applications et flux de données

Le modèle relie le métier à ce qui le fait fonctionner. Les capacités, comme les paiements, l’entrée en relation, l’administration de fonds ou le reporting réglementaire, sont portées par des applications. Chaque application repose sur des technologies et échange des données par ses interfaces.

Dans ArchiLU, chaque interface, entrante ou sortante, indique son protocole et les données qu’elle transporte. La fiche d’une application la montre couche par couche, du métier à la technologie, avec son historique. Ces liens répondent aux questions d’une revue : les applications qui soutiennent une fonction critique, le chemin de ses données, ce qui serait touché si un maillon tombait.

• La carte des capacités, avec les applications qui portent chaque capacité.
• La liste des applications, avec responsable, criticité, cycle de vie et fournisseur.
• Les interfaces, leur protocole et les données qu’elles transportent.
• Les technologies de chaque application et leurs échéances de support.

Sous-traitance et prestataires TIC

Une entité doit savoir à qui elle a confié des services, quels arrangements soutiennent des fonctions critiques ou importantes et quels sous-traitants interviennent derrière un prestataire. Ces informations dérivent vite lorsqu’elles vivent dans un registre séparé de l’architecture.

Dans ArchiLU, la chaîne part de la fonction critique ou importante et suit les processus, les applications et les services TIC jusqu’au sous-traitant et au contrat. Une vue dédiée distingue le fournisseur d’une application du prestataire d’un service TIC. Un rattachement manquant reste visible, et l’analyse d’exposition signale la concentration sur un même prestataire.

L’appréciation d’un arrangement, les notifications éventuelles et la position contractuelle restent du ressort de l’entité et de ses conseils.

Résilience opérationnelle : partir de la fonction critique

La résilience opérationnelle consiste à continuer de fournir les fonctions critiques ou importantes pendant une perturbation, et à montrer que cette continuité a été préparée. Le premier travail consiste à identifier ces fonctions et ce qui les soutient.

Dans ArchiLU, chaque fonction porte sa criticité au sens de DORA, son responsable et les applications qui la servent. La fiche d’une fonction montre ses processus, ses applications, l’instance déployée avec sa reprise et sa perte admissible, et le plan de sortie de l’application. Les plans de continuité, les tests et la réponse aux incidents restent dans les processus de l’entité ; le référentiel leur fournit les dépendances.

• La liste des fonctions, avec leur criticité et leur responsable.
• Les dépendances de chaque fonction critique jusqu’aux prestataires.
• Les rapports réglementaires, figés avec leur empreinte.
• Une mission d’audit en lecture seule, bornée à son périmètre et à sa période.

Une entité luxembourgeoise et ses équipes

ArchiLU est édité à Heinerscheid, au Luxembourg, par MIP-IT SARL. Chaque organisation a son instance dédiée, hébergée dans l’Union européenne ; un déploiement chez le client est proposé en option, sur devis. Les écrans, les tâches et l’aide existent en français, en anglais et en allemand.

Dans une petite entité, une personne peut cumuler plusieurs profils. En mode libre, un architecte peut poser seul la fondation, et une instance de décision peut ne compter qu’un membre. Les offres comptent des utilisateurs illimités, lecteurs compris : risques, conformité, IT et direction lisent la même carte.