Résumé

  • Le forum Royaume-Uni–Australie a parlé de réduire les contrôles inutiles des prestataires critiques mondiaux et a renvoyé la suite au prochain forum, prévu en 2027.
  • Le MoU signé en janvier entre les régulateurs britanniques et européens fixe déjà un cadre de coordination et d’échange d’informations.

Un prestataire mondial peut soutenir des fonctions critiques pour des banques dans plusieurs pays. Chaque autorité veut alors savoir comment il résistera à une panne ou à une cyberattaque. Si les superviseurs ne se parlent pas, le prestataire reçoit les mêmes questions avec des en-têtes différents. C’est précisément cette duplication que le Royaume-Uni et l’Australie disent vouloir éviter.

Leur deuxième Forum conjoint de réglementation financière s’est réuni à distance le 27 octobre; le communiqué est paru le 29. Les représentants des deux trésors publics, de la Bank of England, de la FCA, de l’ASIC, de la RBA et de l’APRA ont comparé leurs approches des tiers critiques. Ils ont évoqué la compatibilité des régimes, la poursuite des échanges bilatéraux et une nouvelle réunion en 2027.

Le Royaume-Uni dispose d’un contrôle direct sur les prestataires désignés comme tiers critiques. HM Treasury décide de leur désignation; la Bank of England, la PRA et la FCA peuvent imposer des règles, recueillir des informations et faire appliquer les exigences pour les services systémiques concernés. Le contrôle des quatre premiers prestataires désignés a commencé le 13 juillet 2026.

En Australie, la norme CPS 230 de l’APRA impose notamment aux entités réglementées de gérer leurs accords avec les prestataires, de tenir un registre des prestataires de services matériels et de transmettre ce registre chaque année. La RBA exerce séparément un contrôle sur les systèmes de paiement et infrastructures de marché financier pertinents. Les responsabilités ne se superposent donc pas simplement d’un pays à l’autre.

La dépendance est concrète. Dans son examen de stabilité financière de mars, la RBA estime que certaines des plus grandes entités réglementées australiennes utilisent environ 150 prestataires pour leurs opérations critiques. Plusieurs servent de nombreuses entités, parfois tout le secteur; beaucoup sont établis à l’étranger, hors du périmètre réglementaire australien. La RBA ne chiffre pas les audits répétés. Elle décrit un réseau que chaque frontière réglementaire ne peut pas cartographier seule.

Londres et les autorités européennes ont déjà signé, en janvier, un MoU sur les tiers critiques et DORA. Selon la Bank of England, il organise la coordination et l’échange d’informations, y compris lors de pannes ou de cyberattaques, avec l’objectif de réduire les doublons. Le communiqué australien ne publie pas d’instrument équivalent. Il ne précise ni les données communes, ni le canal de signalement, ni l’autorité qui prendrait la tête d’un incident transfrontalier.

Le fait manquant est un plan de travail public Royaume-Uni–Australie qui nomme les données partagées, les voies d’incident, les responsables et les échéances; sa publication réduirait l’écart entre les deux cadres. Pour l’instant, le forum a donné une direction et une prochaine date, pas un dispositif de supervision commun. Un rendez-vous peut réunir les décideurs; il ne fusionne pas deux registres de prestataires.

Sources