Téléphonie, Teams, mobile : les nouveaux angles morts de la conformité MiFID

Pendant longtemps, la conformité MiFID était un sujet relativement circonscrit. Les établissements financiers concentraient leurs efforts sur les salles de marché, où les obligations d'enregistrement des communications étaient clairement identifiées.

Cette vision appartient désormais au passé.

Aujourd'hui, les échanges professionnels se déroulent partout : sur téléphone fixe, téléphone mobile, Microsoft Teams, Zoom, ou encore via des plateformes de communication unifiée qui se sont imposées dans le quotidien des collaborateurs. Les usages ont évolué beaucoup plus vite que les architectures qui étaient censées les encadrer.

Et c'est précisément là que se situe désormais le véritable risque.

Une architecture qui s'est empilée au fil des années

Très peu d'établissements financiers ont conçu leur système de communication dans une logique globale.

La réalité est bien différente.

La téléphonie fixe est arrivée en premier. Puis les smartphones professionnels. Ensuite sont venus les outils collaboratifs, accélérés par la généralisation du télétravail. Enfin, pour répondre aux exigences réglementaires, différentes solutions d'enregistrement sont venues s'ajouter progressivement.

Chaque nouvelle couche répondait à un besoin immédiat.

Aucune n'a réellement été pensée en cohérence avec les précédentes.

Au fil des années, les directions des systèmes d'information ont ainsi hérité d'environnements complexes, composés de technologies hétérogènes, de fournisseurs multiples, de contrats distincts et de cycles de maintenance indépendants.

Cette complexité reste souvent invisible… jusqu'au jour où il faut démontrer que l'ensemble fonctionne réellement sans rupture.

Le véritable risque est devenu technique

La directive MiFID II impose aux entreprises d'investissement de prendre toutes les mesures raisonnables afin d'enregistrer les communications pertinentes réalisées dans le cadre de leurs activités professionnelles.

Sur le papier, le principe est clair.

Dans la pratique, son application est devenue beaucoup plus délicate.

Chaque nouveau canal de communication autorisé par l'entreprise crée potentiellement un nouveau périmètre de conformité.

Le problème n'est plus uniquement réglementaire.

Il devient profondément technique.

Car un outil d'enregistrement installé il y a plusieurs années continue souvent de fonctionner sans que personne ne vérifie réellement sa capacité à couvrir les usages actuels : nouvelles versions des logiciels collaboratifs, évolution des systèmes d'exploitation, nouveaux terminaux, nouvelles pratiques de mobilité ou encore nouveaux modes de connexion à distance.

Autrement dit, la conformité d'hier n'est pas automatiquement celle d'aujourd'hui.

Le DSI devient l'un des garants de la preuve

Historiquement, la conformité relevait essentiellement du RCCI tandis que les infrastructures restaient sous la responsabilité de la DSI.

Cette frontière s'est progressivement estompée.

Lorsqu'un régulateur demande aujourd'hui de reconstituer une piste d'audit complète, la question dépasse largement l'existence d'une politique d'enregistrement.

Il faut être capable de démontrer que chaque communication pertinente, quel que soit le canal utilisé, a effectivement été captée, conservée et peut être restituée.

Cette démonstration repose désormais autant sur l'architecture technique que sur les procédures de conformité.

Le DSI ne fournit plus uniquement des outils.

Il devient l'un des acteurs de la capacité de l'établissement à apporter cette preuve.

Trois questions que chaque DSI devrait se poser

Quelques questions simples permettent d'évaluer la robustesse réelle d'une architecture de communication.

Un conseiller qui poursuit une conversation client sur son téléphone mobile bénéficie-t-il exactement du même niveau d'enregistrement que depuis son poste fixe ?
Les différents outils de communication déployés dans l'entreprise offrent-ils une couverture homogène ou reposent-ils sur plusieurs solutions indépendantes qu'il faut maintenir séparément ?
Lorsqu'une mise à jour intervient sur une plateforme collaborative ou sur un terminal, existe-t-il un mécanisme permettant de vérifier immédiatement que la continuité de l'enregistrement est toujours assurée ?

Si ces réponses nécessitent plusieurs vérifications ou plusieurs interlocuteurs, il est probable que l'architecture comporte déjà des zones d'incertitude.

La conformité ne peut plus être une succession de surcouches

Pendant des années, la réponse a consisté à ajouter un nouvel outil chaque fois qu'un nouvel usage apparaissait.

Un logiciel pour le mobile.

Un connecteur pour Teams.

Une application pour la visioconférence.

Un autre outil pour l'archivage.

Cette logique a permis de répondre rapidement aux besoins du moment.

Mais elle a aussi multiplié les dépendances techniques, les interfaces à maintenir et les risques de rupture entre les différents composants.

À mesure que les usages numériques se diversifient, cette approche montre aujourd'hui ses limites.

L'enjeu n'est plus seulement d'enregistrer davantage de communications.

Il consiste à construire une architecture capable d'assurer cette continuité de manière cohérente, quel que soit le canal utilisé.

De plus en plus d'acteurs s'interrogent ainsi sur des approches où les mécanismes d'enregistrement, de conservation et de restitution sont intégrés au plus près des infrastructures de communication, afin de limiter les points de rupture et de réduire la dépendance à une multiplication de couches applicatives.

La conformité cesse alors d'être une fonction ajoutée à posteriori pour devenir une caractéristique intrinsèque de l'infrastructure.

Repenser la conformité avant que les usages ne nous dépassent

Les outils de communication continueront d'évoluer.

L'intelligence artificielle conversationnelle, les nouveaux environnements collaboratifs et les usages toujours plus mobiles transformeront encore les échanges professionnels dans les prochaines années.

Dans ce contexte, la conformité ne peut plus être considérée comme un simple sujet réglementaire.

Elle devient un véritable enjeu d'architecture.

Le DSI n'est plus uniquement celui qui garantit la disponibilité des systèmes. Il devient également l'un des garants de leur capacité à démontrer, à tout moment, la conformité des communications face au régulateur.

C'est sans doute le véritable changement introduit par MiFID : moins une évolution des obligations elles-mêmes qu'une transformation profonde de la manière dont les établissements financiers doivent désormais concevoir leurs infrastructures numériques.