Publié le 14 janvier 2026. La Banque centrale d’Irlande (CBI) a publié une évaluation du niveau de préparation des entreprises d’investissement MiFID face aux perturbations opérationnelles, soulignant des points forts mais aussi des axes d’amélioration, notamment en matière de cartographie des risques et de tests de scénarios.
- La CBI constate que la plupart des entreprises MiFID ont mis en place des cadres de résilience opérationnelle conformes à ses recommandations.
- L’évaluation met en évidence des lacunes dans l’identification des services critiques, la cartographie des dépendances et la robustesse des tests de scénarios.
- La CBI attend des entreprises qu’elles réexaminent leur conformité aux directives, en tenant compte des nouvelles exigences de la réglementation DORA.
La Banque centrale d’Irlande a publié le 12 janvier 2026 les conclusions de son évaluation thématique de la résilience opérationnelle dans le secteur des entreprises d’investissement MiFID. Cette analyse s’inscrit dans le cadre des travaux de surveillance de la CBI et fait suite à ses Perspectives en matière de réglementation et de surveillance à l’horizon 2025.
Pour la CBI, la résilience opérationnelle se définit comme «la capacité d’une entreprise, et du secteur des services financiers dans son ensemble, à identifier et à se préparer, à réagir et à s’adapter, à se rétablir et à tirer des leçons d’une perturbation opérationnelle qui affecte la fourniture de services commerciaux critiques ou importants». Les directives initialement publiées en décembre 2021, entrées en vigueur le 1er janvier 2024, ont été mises à jour en juillet 2025 pour s’aligner sur la réglementation européenne sur la résilience opérationnelle numérique, connue sous le sigle DORA (Digital Operational Resilience Act).
L’évaluation de la CBI visait à déterminer si les entreprises MiFID avaient mis en place des cadres de résilience opérationnelle adéquats et si leurs conseils d’administration et leurs équipes dirigeantes assuraient la supervision et l’efficacité de ces dispositifs.
Dans l’ensemble, la CBI a constaté que de nombreuses entreprises MiFID disposaient de cadres de résilience opérationnelle conformes à ses attentes. Les conseils d’administration étaient généralement responsables de la résilience opérationnelle, avec délégation à des comités spécialisés et une responsabilisation claire au niveau de la direction. La CBI a également salué la qualité du reporting régulier des informations et des défis au niveau des instances dirigeantes.
Cependant, l’évaluation a également mis en évidence des points faibles nécessitant des améliorations, notamment :
- L’identification précise des services commerciaux critiques ou importants.
- La cartographie détaillée de la manière dont ces services sont fournis.
- La pertinence et l’étendue des tests de scénarios.
- L’intégration de la résilience opérationnelle dans les cadres de gestion des risques existants.
Concernant la cartographie des services, la CBI a relevé que certains exercices manquaient de granularité, empêchant les entreprises d’identifier les vulnérabilités dans leur chaîne d’approvisionnement et de mettre en place des plans de remédiation efficaces. Elle a également souligné que «la résilience opérationnelle est une évolution de la gestion des risques opérationnels et de la continuité des activités et, en tant que telle, doit être alignée sur les cadres existants ou en développement dans ces domaines».
La CBI attend désormais de toutes les entreprises MiFID qu’elles réexaminent leur conformité aux directives, en tenant compte des dernières mises à jour liées à DORA. Une attention particulière devra être portée aux points suivants :
- Identifier clairement les services commerciaux critiques ou importants (Directive 4).
- Comprendre et définir précisément la manière dont ces services sont fournis (Directive 7).
- Prendre en compte les dépendances vis-à-vis de tiers dans la cartographie des services critiques (Directive 8).
Bien que l’évaluation ne se soit pas spécifiquement concentrée sur DORA ou sur la cyber-résilience, la CBI a rappelé que ces domaines restent des priorités pour 2026-2027. Elle a souligné la complexité croissante de l’environnement technologique, l’augmentation des menaces et le risque de concentration lié à la centralisation des services informatiques chez un nombre limité de fournisseurs tiers. La CBI attend donc des entreprises qu’elles renforcent leurs cadres de résilience opérationnelle, en particulier en matière de cybersécurité, afin de garantir la continuité de leurs services critiques en cas de perturbation et de protéger leurs clients.
Les entreprises sont invitées à revoir leurs dispositifs de résilience opérationnelle dès à présent, en anticipation d’un contrôle prudentiel plus approfondi dans les mois à venir. L’équipe d’Arthur Cox possède une expertise reconnue en matière de résilience opérationnelle, de cybersécurité et de conformité réglementaire et se tient à la disposition des entreprises pour les accompagner dans cette démarche.