La banque qui s'est brûlé les ailes

L'annonce de la fin de son moratoire de six mois sur les projets informatiques non critiques de DBS me donne l'occasion de découvrir que celui-ci résultait d'une décision du régulateur singapourien. L'interventionnisme des autorités en matière de risque technologique se propage… en proportion de sa progression et de ses impacts.

C'était en novembre dernier, à la suite d'une série d'incidents sérieux affectant l'accès de ses clients à ses services en ligne. La banque présentait alors un plan en vue de renforcer sa résilience. Aujourd'hui, les principales mesures ont été déployées et seules les améliorations d'architecture du système d'information, dont il était d'emblée prévu qu'elles s'étalent sur 12 à 24 mois, sont toujours en cours. De quoi satisfaire la MAS, qui lève donc son interdiction d'engager de nouvelles transformations.

Comme je le soulignais au début de la période probatoire, les changements mis en œuvre pour l'instant relèvent essentiellement de l'atténuation des conséquences des incidents rencontrés – en particulier dans la rapidité de détection et de réaction – et ne concernent pas les racines du mal, pour lesquelles les initiatives engagées n'auront pas d'effet avant plusieurs années. Et, dans ce registre, il est non seulement question d'éviter les indisponibilités des applications web et mobile… mais aussi de stratégie.

En effet, dès avant l'injonction, la culture historique d'innovation « digitale » de DBS montrait des signes d'essoufflement et il paraît vraisemblable que la fragilité et la complexité de son patrimoine informatique, accentuées par son exubérance de créativité, ait simultanément contribué à ce ralentissement, dans une sorte de spirale délétère. Arrivée au bout d'une impasse qui lui impose de remettre à plat ses systèmes, elle se retrouve maintenant durablement bloquée dans ses ambitions de rupture.

L'autre aspect important de cette actualité est, bien sûr, la démarche adoptée par le régulateur. En Europe, la BCE s'inquiète depuis déjà quelque temps des menaces que font peser sur les banques et leur capacité à opérer sans interruption les technologies vieillissantes qui propulsent leurs services critiques, jusqu'à instaurer bientôt des mécanismes de supervision dédiés. La MAS singapourienne a dorénavant franchi un pas supplémentaire, très intrusif, en définissant les priorités de la DSI de DBS.

Face à l'immobilisme ambiant et aux résistances persistantes des dirigeants, faudra-t-il donc que les autorités en arrivent à décréter le lancement des indispensables grands chantiers de rénovation qui permettront de débarrasser les infrastructures bancaires des technologies obsolètes ? Ce niveau d'exigence est-il vraiment envisageable ? Et de telles décisions pourront-elles être prises avant que ne survienne une catastrophe ?