Pendant longtemps, banques et assureurs ont cherché à conserver une grande partie de leurs compétences en interne.
Infrastructures informatiques, systèmes de paiement, données, sécurité, relation client : maîtriser l’ensemble de la chaîne permettait de limiter les dépendances et de garder le contrôle sur des activités considérées comme stratégiques.
Aujourd’hui, cette logique devient beaucoup plus difficile à maintenir.
Cloud, cybersécurité, intelligence artificielle, logiciels métiers ou conformité nécessitent des expertises de plus en plus spécialisées. Même les plus grandes institutions financières s’appuient désormais sur un écosystème de fournisseurs externes.
L’externalisation des services financiers n’est donc plus une exception. Elle devient progressivement une composante structurelle du fonctionnement des banques et des assureurs.
Mais jusqu’où peut-on déléguer sans perdre le contrôle ?
Tout internaliser devient difficile
Maintenir une expertise de haut niveau sur chaque technologie représente un investissement considérable.
Il faut recruter, former les équipes, maintenir les infrastructures, suivre les évolutions réglementaires et assurer en permanence leur sécurité.
Pour certaines activités, le recours à un acteur spécialisé devient donc plus logique.
Le cloud en est un bon exemple. Les grands fournisseurs proposent des capacités d’infrastructure, de disponibilité et de stockage extrêmement difficiles à reproduire intégralement en interne.
L’externalisation peut ainsi apporter davantage de flexibilité, de rapidité et d’expertise.
Mais ce gain d’efficacité s’accompagne d’une nouvelle question : quelle dépendance l’organisation accepte-t-elle en échange ?
Externaliser ne veut pas dire transférer la responsabilité
C’est une différence essentielle dans la banque et l’assurance.
Une institution peut confier une fonction à un prestataire. Elle ne peut pas lui transférer totalement la responsabilité du service.
Si un fournisseur connaît une panne, le client reste client de sa banque ou de son assureur.
C’est notamment l’un des principes renforcés par DORA : les risques liés aux prestataires technologiques doivent être intégrés à la gestion globale du risque opérationnel.
Ainsi, l’externalisation des services financiers n’est plus uniquement une décision économique.
Elle devient aussi un sujet de gouvernance, de continuité d’activité et de résilience.
Quand plusieurs acteurs dépendent du même fournisseur
L’externalisation crée également un paradoxe.
À l’échelle d’une entreprise, s’appuyer sur un acteur spécialisé peut réduire la complexité.
Mais à l’échelle du marché, si de nombreuses banques ou compagnies d’assurance utilisent les mêmes infrastructures, une nouvelle forme de risque apparaît : la concentration.
Une défaillance chez un fournisseur critique pourrait alors affecter plusieurs institutions simultanément.
Le sujet n’est donc plus simplement :
« Notre fournisseur est-il fiable ? »
Mais également :
« Que se passerait-il si une grande partie du secteur dépendait du même acteur ? »
Cette question devient particulièrement importante avec le cloud, les infrastructures de paiement ou certains services technologiques critiques.
Le risque de perdre progressivement ses compétences
Il existe également une conséquence moins visible de l’externalisation.
Lorsqu’une activité est confiée durablement à un prestataire, l’organisation peut progressivement perdre une partie du savoir-faire associé.
Les équipes internes savent alors superviser le fournisseur, mais deviennent parfois moins capables d’assurer elles-mêmes la fonction.
Cette situation peut devenir problématique lorsqu’un changement de prestataire devient nécessaire ou lorsqu’un incident impose de reprendre temporairement le contrôle.
L’enjeu est donc de conserver suffisamment de compétences internes pour :
- comprendre le fonctionnement du service ;
- contrôler les résultats ;
- challenger le prestataire ;
- gérer une situation exceptionnelle ;
- préparer éventuellement une stratégie de sortie.
Externaliser une activité ne doit pas signifier perdre la capacité de la comprendre.
Vers un modèle de plus en plus hybride
Le choix ne se situe probablement plus entre tout internaliser et tout externaliser.
Les banques et les assureurs évoluent plutôt vers des organisations hybrides.
Certaines expertises sont confiées à des partenaires spécialisés, tandis que les compétences considérées comme stratégiques restent davantage maîtrisées en interne.
Cela suppose de savoir précisément ce qui peut être délégué.
Une institution doit notamment identifier :
- les fonctions réellement critiques ;
- les dépendances à un fournisseur unique ;
- les compétences qu’elle souhaite conserver ;
- les solutions disponibles en cas d’incident ;
- la capacité à changer de prestataire.
La stratégie d’externalisation devient alors une véritable stratégie de gestion des risques.
DORA renforce cette évolution
L’entrée en application de DORA a renforcé l’attention portée aux dépendances technologiques du secteur financier.
Les banques et les assureurs doivent disposer d’une vision plus précise des services qu’ils confient à des tiers, de leur criticité et des conséquences potentielles d’une interruption.
Cette évolution fait progressivement sortir l’externalisation du seul périmètre des directions informatiques ou des achats.
Elle devient un sujet qui concerne aussi les directions des risques, la conformité et les instances dirigeantes.
L’objectif n’est plus uniquement de choisir le meilleur fournisseur.
Il faut aussi comprendre ce qui se passerait si ce fournisseur n’était plus disponible demain.
Externaliser sans devenir dépendant
L’externalisation des services financiers devrait continuer à progresser.
La sophistication croissante des technologies rend difficile, voire inutile, le maintien de toutes les compétences en interne.
Mais cette transformation oblige les institutions financières à trouver un nouvel équilibre.
Externaliser peut apporter de l’expertise et de la rapidité.
Devenir dépendant peut au contraire réduire la capacité de l’organisation à réagir lorsqu’un problème survient.
Les banques et les assureurs les plus solides ne seront donc probablement pas ceux qui chercheront absolument à tout faire eux-mêmes.
Ce seront ceux qui sauront précisément ce qu’ils peuvent confier à d’autres, tout en conservant la capacité de comprendre, contrôler et reprendre la main lorsque cela devient nécessaire.
