Charles Cuvelliez, Jean-Jacques Quisquater et Anne-Laure Ferron
Photo d'illustration
Dado Ruvic
Il y a les application programing interfaces qui se répandent de plus en plus, la blockchain dont on ne parle plus trop mais aussi le cloud et l'intelligence artificielle. Toutes ces technologies sont déjà (bien ?) appliquées dans le secteur financier.
Les API permettent à des programmes de se parler entre eux sans intervention humaine. Ils font office de connecteurs et permettent aux données de circuler plus rapidement. Les API sont à l'œuvre entre l'application bancaire mobile qu'on a tous et le mainframe au cœur du réseau de la banque.
Consulter son application est quasi instantané comme si les données de ses comptes étaient dans son mobile même. Les API permettent de se connecter à des entreprises tierces ou des fournisseurs de service IT pour les intégrer dans la banque comme s'ils en faisaient partie. Les API sont même considérés comme plus sûrs, car très contrôlés sur ce qu'elles peuvent ou ne peuvent pas transmettre. Les API sont aussi une promesse de plus d'interopérabilité et d'échanges entre entreprises du secteur financier, de sorte que tous les services financiers ne doivent pas être pris auprès de sa seule et unique banque. C'est toute la promesse de l'open banking. Selon les juridictions, les API sont obligatoires, volontaires, imposés par la régulation ou même portés par le secteur, entre concurrents !
Ce n'est pas nouveau : l'intelligence artificielle est déjà fort présente dans les banques, explique le comité Bâle III, via la souscription de crédit, les transactions boursières, les modélisations, la détection de fraude et sa prévention, la lutte contre le blanchiment, la prédiction des besoins en capital et évidemment les chatbots et le marketing. Tous ces développements visent à terme à plus (encore) de self-service dans le chef des clients. L'IA visera les processus où l'imprécision humaine peut faire des dégâts (comme la détection des anomalies - oui mais quelle anomalie ? - dans la prévention du blanchiment d'argent). L'IA permettra de mieux exploiter des données non structurées souvent présentes en masse dans les banques. L'IA générative améliorera la gestion de la connaissance dans les banques, ou même les opérations IT (via la génération de code par exemple). C'est dans tout cela que l'IA va être vraiment être utile au début.
La blockchain porte la promesse de réduire des coûts mais aussi d'augmenter la sécurité (étonnant), grâce aux enregistrements immuables en son sein. Via son usage au travers d'une finance décentralisée, elle laisse entrevoir la possibilité de se passer des infrastructures de marchés et permettre une plus grande customisation et des coûts réduits pour les services qui passent par elles. Il n'y a cependant pas encore de blockchain en place à une échelle systémique. C'est aussi le système de jetons qui intéresse les banques puisqu'ils prouvent l'appartenance d'actifs de manière programmatique. Les blockchains sont aussi envisagées et testées pour les paiements transfrontaliers, la vérification d'identité. A priori, les banques visent plutôt les blockchains privées où il ne faut pas résoudre une énigme mathématiquement couteuse pour valider une transaction.
L’actualité qui compte pour vous, chaque jour dans votre boîte mail.
Enfin, il y a le cloud, qu'on ne présente plus et qui permet aux banques de se délester de leurs couteuses infrastructures IT pour celles des géants (en nombre trop limité). Le comité de Bâle dit que ces géants offrent plus de résilience par leur taille et leur disponibilité mondiale que les data centers individuels des banques.
Mais alors, quels risques voit le comité de Bâle au travers de ces 4 technologies déjà sur le terrain ? Il y a le risque d'érosion des revenus et des parts de marché des banques face à l'open banking et une perte de profitabilité. Il y a aussi le problème de compétences en interne et les lourdeurs de l'infrastructure héritée de 50 ans d'informatisation qu'on ne peut jeter ainsi aux orties. Cette situation s'avère critique pour les petites banques car elles n'ont les ressources ni techniques ni financières pour rehausser leurs compétences technologiques. Ces petites banques sont par conséquence plus à risque. Et on a vu avec les crises en 2023 comme elles peuvent vite basculer.
Avec l'open banking, avec les API, il s'agit aussi de travailler avec des firmes non bancaires, des entreprises technologiques, des partenaires à qui les banques abandonnent leur données, leur conception de produits, leurs process alors que le responsable final reste les banques.
Les banques se reposent de plus en plus sur des technologies et des partenariats avec des non-banques. Ces dernières vont proposer des produits tout faits, des processus ou des modèles automatisés qui vont reposer sur l'IA qui restera sans doute trop opaque. Même si le partage des responsabilités est clairement défini, en cas d'incidents, les clients ne verront que les banques, vues comme gardiennes des intérêts et des données que le client a confiés.
Les risques opérationnels sont aussi pointés du doigt à commencer par les modèles d'IA utilisés par les banques. On constate que ceux-ci contiennent des composantes de plus en plus intense(ment opaques) avec le risque qu'on ne peut pas expliquer les résultats ni les justifier. Le comité de Bâle met en évidence l'impact potentiel sur des processus aussi sensibles que le blanchiment d'argent ou l'identification des clients ou le recours aux blockchains pour de la finance décentralisée.
Quand une banque externalise des activités non essentielles (ou essentielles), elle doit contrôler la chaîne des sous-traitants. Mais parfois, ces sous-traitants n'ont pas de lien contractuel avec la banque, même indirect (par exemple, dans le cas d'une blockchain). C'est un exercice difficile.
Le comité de Bâle craint que la digitalisation n'augmente les risques de propagation rapide d'une crise éventuelle dans le monde, avec des effets en chaîne et de contagion. Les faillites bancaires américaines de 2023 en sont l'exemple quand les clients voulurent tous en même temps retirer leur argent. C'était inimaginable lorsqu'il fallait faire la file aux guichets.
L'interconnexion et l'interdépendance entre les banques et les autres firmes sont magnifiés par le digital pour le meilleur et le pire. Et de mentionner, à l'opposé, un danger de morcellement si chaque banque lance sa propre blockchain avec tel ou tel partenaire pour son compte propre.
Passer par des grosses infrastructures de marché, c'est mutualiser et diluer le risque de défaillance de l'un ou l'autre acteur. Cependant les risques de concentration augmentent à force de se reposer sur les 4 mêmes grands fournisseurs de cloud mais aussi, dorénavant, toujours les mêmes fournisseurs d'IA générative.
Encore plus de contrôles sur les nouveaux produits ou services ou canaux de distribution, qui font, forcément, un usage intensif de ces nouvelles technologies s'impose.
Le comité de Bâle semble surtout institutionnaliser l'idée poursuivie par la régulation DORA (Digital Operational Resilience Act) de pouvoir superviser les non-banques qui servent les banques. La majeure partie de ces nouveaux risques viennent de ces non-banques qui font des incursions permanentes dans le secteur financier. Les 3 régulateurs européens EBA, EIOPA et ESMA, à travers DORA, vont s'ailleurs superviser en direct les fournisseurs ICT systémiques du secteur bancaire comme s'ils étaient des banques.
On leur souhaite du plaisir.
_____
Pour en savoir plus
Charles Cuvelliez, Jean-Jacques Quisquater et Anne-Laure Ferron
