La migration de TSB avait un plan, un budget et aucun frein

Résumé

• Le 20 décembre 2022, la Financial Conduct Authority et la Prudential Regulation Authority ont annoncé des sanctions contre TSB Bank plc pour un total de 48 650 000 £, dont 29 750 000 £ pour la FCA et 18 900 000 £ pour la PRA, à propos de la migration de plateforme informatique menée par la banque en 2018.
• Les constats annoncés portent sur la gouvernance et la supervision de la migration, la gestion du risque, la planification et les tests. La leçon durable ne se situe pas dans le budget du projet : elle se situe dans l'existence, ou non, d'une personne ayant le statut nécessaire pour arrêter le programme, et dans la question de savoir si cet arrêt avait déjà été répété.

Une migration est une promesse qu'une institution se fait à elle-même : que la nouvelle plateforme portera ce que portait l'ancienne, que celles et ceux qui opèrent le transfert sauront quoi faire quand ce ne sera pas le cas, et que quelqu'un prononcera l'arrêt avant que la clientèle ne découvre la panne à leur place. Le 20 décembre 2022, la Financial Conduct Authority et la Prudential Regulation Authority ont annoncé des sanctions contre TSB Bank plc pour un total de 48 650 000 £, à propos de manquements liés à la migration de plateforme informatique de la banque en 2018 (annonce de la FCA et de la PRA). La part de la FCA s'élève à 29 750 000 £, celle de la PRA à 18 900 000 £. La même annonce situe les constats dans les domaines de la gouvernance et de la supervision de la migration, de la gestion du risque, de la planification et des tests, ainsi que dans les perturbations subies par les clients.

Ces montants et cette qualification proviennent de l'annonce du 20 décembre 2022. L'instrument qui porterait la base juridique, les dispositions statutaires et les constats factuels, paragraphe par paragraphe, est la décision finale de la FCA (décision finale de la FCA concernant TSB Bank plc), un document public et le bon endroit pour éprouver toute affirmation sur la règle effectivement engagée. Ce dossier ne nomme aucune règle : une annonce de sanction n'est pas l'équivalent de la décision qui la fonde, et un récit qui emprunte une précision qu'il n'a pas lue n'est qu'une supposition mieux habillée.

TSB a répondu le jour même. Sa salle de presse publie une déclaration sous le titre « TSB responds to the FCA and PRA findings in relation to the 2018 Migration Programme », datée du 20 décembre 2022 (communiqués de TSB). Lisez les deux documents côte à côte et la grammaire de l'affaire apparaît. Les régulateurs formulent des constats. La banque répond à des constats. Les deux phrases sont vraies, et la distance entre elles est précisément l'endroit où vit la redevabilité. Une réponse décrit la posture d'une entreprise. Un constat décrit ce que ses contrôles ont fait et n'ont pas fait. Un seul des deux est vérifiable par un superviseur, et un seul des deux est vérifiable par vous.

Considérez donc la sanction comme un point d'entrée, non comme une conclusion.

Le travail intéressant se situe en amont de l'addition : dans la prévention, dans la détection, et dans l'autorité de revenir sur une décision déjà signée, dotée en personnel et annoncée.

La prévention, dans un programme de migration, est surtout administrative, et c'est exactement sa faiblesse. Les plans existent. Les régimes de tests existent. Les comités de pilotage existent, avec leurs mandats, leurs comptes rendus et leurs registres de risques dont les cases rouges ont l'habitude de virer à l'orange à mesure que la date approche.

Ce qu'un plan ne contient pas par défaut, c'est la réponse à une question simple : à quel seuil mesuré ce programme s'arrête-t-il, et qui le dit ? Cette question n'est pas technique. C'est une délégation d'autorité, et elle reste généralement non écrite parce que la coucher sur le papier désigne un responsable pour une issue que personne ne souhaite assumer.

Les domaines de constat annoncés — gouvernance et supervision, gestion du risque, planification et tests — convergent vers cette question non écrite. La gouvernance n'est pas l'existence d'un comité. C'est l'attribution d'un droit de décision, avec un nom et une date. La supervision n'est pas le volume de reporting. C'est la capacité d'un rapport à porter une décision qui coûte aujourd'hui de l'argent et de la réputation pour éviter demain une issue pire. La planification et les tests ne prouvent pas la diligence, sauf si le test peut échouer d'une manière qui change la décision de lancement.

Un test incapable d'arrêter le lancement est une répétition de l'annonce, pas du risque.

La détection mérite son propre paragraphe, car c'est là que les institutions se félicitent trop tôt. Les banques savent instrumenter des systèmes ; elles savent beaucoup moins instrumenter la décision d'y aller. Un tableau de bord de préparation indiquera à un conseil que la plateforme est prête. Il lui indiquera rarement combien de temps il faudrait pour revenir en arrière si elle ne l'était pas. Ce sont deux mesures différentes, et seule la seconde peut sauver l'après-midi d'un client.

Les domaines de constat annoncés touchent les deux moitiés — gestion du risque d'un côté, planification et tests de l'autre — et la distinction entre elles sépare la connaissance de son plan de la connaissance de sa sortie.

L'autorité de retour arrière est le contrôle le moins glamour de tout programme informatique, et celui dont la valeur de sauvetage est la plus élevée. Un chemin d'abandon jamais exercé n'est pas un contrôle ; c'est un document avec un schéma. L'exercer une fois, sous pression temporelle, avec dans la salle les dirigeants qui devraient le signer, le transforme en quelque chose qu'un superviseur peut croire.

La question la plus difficile n'est pas de savoir si le chemin existe, mais si la personne censée s'y engager avait le statut nécessaire pour contredire le sponsor du programme à deux heures du matin, sans comité disponible. La plupart des organisations ne peuvent pas répondre honnêtement à cette question parce qu'elles ne l'ont jamais posée par écrit.

Vient ensuite l'arithmétique du temps. La migration a eu lieu en 2018. Les sanctions ont été annoncées le 20 décembre 2022. Plus de quatre ans séparent la perturbation de la comptabilisation.

Une sanction de cette taille donne un prix à l'échec ; elle ne donne pas un prix à l'intervalle. Rien, dans l'issue du contrôle, n'indique au lecteur combien de temps la surface de contrôle a mis à reconnaître ce qu'elle regardait, et cet écart — entre un incident et sa reconnaissance par l'institution — est l'endroit vers lequel l'attention prudentielle se déplace depuis une décennie. Le chiffre est une amende. L'intervalle est une capacité.

Ce qui conduit à la durabilité de la réparation, la partie du dossier que la plupart des comptes rendus sautent. L'assurance d'une banque qu'elle a transformé ses opérations n'est pas falsifiable de l'extérieur, et elle n'est pas destinée à l'être. Elle ne devient testable qu'à la migration majeure suivante, devant le superviseur suivant, avec la série suivante de clients qui regardent leur solde refuser de s'afficher. La question utile n'est donc pas ce qu'une banque dit de sa réparation. C'est quel artefact un tiers pourrait auditer.

Les candidats sont concrets : une norme d'abandon publiée, avec des autorités de décision nommées ; la preuve que le chemin d'abandon a été exécuté de bout en bout au cours du dernier cycle ; une règle de gel des changements qui lie le sponsor du programme au lieu de le conseiller ; une attestation indépendante de l'environnement de contrôle, dont le périmètre est énoncé et non suggéré ; et des engagements de rétablissement pour la clientèle, mesurés en heures et publiés après coup.

Rien de tout cela n'est exotique. Tout cela est bon marché au regard de 48 650 000 £. Et tout cela est invisible dans un communiqué de presse, ce qui explique précisément que l'annonce et la déclaration puissent être exactes tout en laissant le dossier public presque muet sur la question de savoir si la prochaine migration est plus sûre que la précédente.

Il reste un point structurel, et c'est la raison pour laquelle la répartition entre les deux montants compte. Deux régulateurs ont agi sur un seul programme. La FCA est l'autorité de conduite ; la PRA est l'autorité prudentielle. Quand deux prismes statutaires différents convergent sur la même migration, une institution devrait cesser de se raconter une histoire de version malchanceuse.

Deux prismes signifient deux défaillances de contrôle, évaluées contre deux questions différentes : la clientèle a-t-elle été correctement traitée pendant que la plateforme se comportait mal, et la firme était-elle gérée avec la résilience que son agrément exige.

Les 29 750 000 £ et les 18 900 000 £ ne sont pas une punition unique divisée pour convenance administrative. Ce sont deux appréciations distinctes de deux questions distinctes, et leur somme est la chose la moins intéressante de l'affaire.

Pour le lecteur qui siège au conseil, le résidu pratique tient en une ligne d'enquête qui ne coûte rien et n'est presque jamais menée : demandez par écrit au sponsor exécutif du programme qui peut l'arrêter et quelle mesure déclenche cet arrêt. Si la réponse est un comité qui se réunit chaque semaine, le contrôle est un calendrier. Si la réponse est une personne nommée, avec un seuil, une trace d'exercice et une instruction permanente qui prévaut sur la date de livraison, vous avez quelque chose qu'un superviseur reconnaîtra comme de la gouvernance plutôt que du théâtre de gouvernance.

Le dossier TSB se lit souvent comme une histoire de panne et d'amende, avec des excuses bancaires au milieu. Il est plus utile de le lire comme l'histoire d'une décision que personne n'était habilité à prendre. La migration avait un plan, un budget, une structure de pilotage et une date. Ce qui lui manquait, et ce que les sanctions du 20 décembre 2022 donnent finalement un prix, c'est un frein avec une main dessus. La fiche de TSB Bank plc dans le répertoire BTW (TSB Bank plc Réservé au Cercle stratégique) rassemble les éléments publics de l'entité visée par ces constats.