Selon la définition de la FINMA, les fonctions critiques sont les suivantes :

• les activités, processus et services - y compris les ressources sous-jacentes nécessaires à leur fourniture - dont l'interruption compromettrait le maintien de l'organisation ou son rôle sur le marché financier et, partant, le bon fonctionnement des marchés financiers ; et
• les fonctions d'importance systémique au sens de l'article 8 de la loi fédérale suisse sur les banques et les caisses d'épargne (loi sur les banques ; LB).

Nous partons du principe que la FINMA n'attend pas des organisations qu'elles identifient un grand nombre de fonctions critiques. L'objectif principal de l'exercice sera de se concentrer sur les chaînes de valeur critiques de bout en bout absolument nécessaires pour garantir qu'un niveau minimum tolérable de services critiques et de résultats commerciaux puisse être fourni à tout moment - même en cas de scénario de perturbation "sévère mais plausible" (une crise majeure).

Parmi les exemples de candidats typiques qui peuvent également être considérés comme des fonctions critiques pour certaines organisations, on peut citer les activités de dépôt et de prêt au niveau national, ainsi que les opérations de paiement. Toutefois, l'identification des fonctions critiques est une tâche à laquelle chaque organisation doit s'atteler individuellement et qui dépend fortement du modèle d'entreprise de l'organisation. Alors qu'un gestionnaire d'actifs inclura probablement la gestion de portefeuille comme une fonction critique, une banque de détail identifiera plutôt le service de crédit aux clients comme une fonction critique de son activité.

Pour déterminer si une fonction au sein d'une organisation est jugée "critique", il convient de privilégier une approche d'évaluation qualitative. Vous trouverez ci-après quelques exemples d'un "aide-mémoire" complet à élaborer individuellement par les organisations pour soutenir le processus d'évaluation qualitative :

La décision de considérer une fonction comme "critique" au sein de l'organisation relève en dernier ressort de la direction générale et du conseil d'administration. En préparant et en documentant avec soin les raisons pour lesquelles une fonction critique a été identifiée et en étayant ces raisons par des données supplémentaires, vous contribuerez a) à obtenir l'aval de la direction générale et b) à garantir la défendabilité et l'auditabilité de la fonction à un stade ultérieur.

Les activités traditionnelles de gestion de la continuité des activités (BCM) se concentrent sur l'identification des objectifs de temps de rétablissement (RTO) pour les processus critiques d'une organisation. Ces objectifs définissent le délai de rétablissement souhaité, c'est-à-dire la date à laquelle un processus doit avoir retrouvé son fonctionnement normal. Même avec les nouvelles exigences en matière de résilience opérationnelle, le BCM reste important et exigé par le régulateur (voir également la circulaire 2023/1 de la FINMA - chapitre IV E).

Toutefois, les crises passées ont démontré que dans des scénarios de perturbation graves mais plausibles, tels qu'une cyber-attaque à grande échelle et une perte totale des TIC, de multiples processus tomberont généralement en panne en parallèle, ce qui rendra les mesures traditionnelles de gestion de la continuité des activités inefficaces puisqu'elles concernent des défaillances isolées. Par conséquent, il est peu probable que l'on parvienne à rétablir tous les processus dans les délais souhaités et à les faire fonctionner normalement dans les délais d'exécution définis. Dans de tels scénarios, l'organisation devra établir des priorités et réussir à surmonter la crise.

C'est là que les tolérances nouvellement introduites pour l'interruption des fonctions critiques entreront en jeu. La tolérance à l'interruption est l'ampleur - la durée ou les dommages attendus - de l'interruption d'une fonction critique que l'organisation est prête à accepter. Les tolérances devront donc définir le niveau minimum de service et de résultats requis de la part d'une fonction critique pour fonctionner pendant une crise, alors que les opérations normales ne peuvent être réalisées pendant une période plus longue.

Lors de la définition des tolérances en matière d'interruption des fonctions critiques, les organisations doivent prendre en compte les étapes suivantes :

1. Formuler le service minimum et les résultats de la fonction requis pour éviter tout préjudice intolérable pour l'organisation, ses clients et le marché financier au sens large.
   
   Remarque : comme point de départ initial, l'organisation peut s'appuyer sur les justifications précédemment développées définissant pourquoi la fonction est jugée "critique". En outre, les objectifs RTO déjà définis pour les processus sous-jacents dans une perspective BCM peuvent fournir une orientation.
   
   
2. Recueillir des données/éléments supplémentaires pour étayer et rationaliser le service minimum et les résultats définis.
3. Documentez la tolérance de perturbation sous la forme d'une déclaration d'objectif basée sur les résultats. En outre, documentez les justifications et les données/preuves supplémentaires pour lesquelles la tolérance de perturbation respective a été choisie.