Le secteur financier est engagé depuis plusieurs années dans une transformation numérique profonde pour préserver et développer sa compétitivité, qu’illustre par exemple le poids des budgets informatiques : pour les banques européennes, une étude de la BCE l’estimait à près de 3 % du produit net bancaire en 2024.
Les nouveaux outils numériques permettent en effet aux établissements d’attirer de nouveaux clients, en leur offrant de nouveaux ou de meilleurs services, mais aussi de rationaliser les coûts. Pour autant, la transformation numérique a un revers : elle augmente la surface d’attaque pour les acteurs malveillants. Or une attaque réussie peut engendrer des coûts importants, à la fois directs et indirects du fait des effets de réputation. Les établissements, tout en innovant, doivent donc veiller à maintenir un haut niveau de cybersécurité.
Pour tenir en même temps ces deux objectifs, et « rester dans la course » à l’innovation, la solution la plus évidente est bien souvent de recourir aux hyperscalers, qui proposent des infrastructures et des services très performants, en particulier en matière de cloud et d’IA, tout en offrant des garanties de sécurité à l’état de l’art. Ce choix expose cependant à un nouveau risque : la dépendance technologique. Celle-ci est potentiellement coûteuse sur le long terme : une étude mandatée par le CIGREF avance le chiffre de 264 milliards d’euros dépensés chaque année par les Européens en logiciels et services cloud américains. Elle est aussi opérationnellement dangereuse, et il n’est pas anodin que le scénario d’un « kill switch » sur les services numériques américains, longtemps impensable, soit désormais envisagé par le gouvernement. La question est donc de savoir si le secteur financier européen peut se permettre, pour atteindre plus rapidement ses objectifs d’innovation et de sécurité, de s’enfermer dans de nouvelles dépendances. Il est évident que la situation n’est pas simple, et que les établissements doivent composer avec des arbitrages complexes en matière technologique et opérationnelle. Je voudrais passer ici les principaux d’entre eux en revue (I) avant de discuter des solutions disponibles du côté des établissements comme des autorités publiques (II).
