Pour une banque, l'erreur de cadrage la plus fréquente consiste à traiter DORA depuis l'application mobile du client. Le règlement (UE) 2022/2554, applicable depuis janvier 2025, regarde la résilience opérationnelle interne : les accès de ceux qui font tourner l'établissement — conseillers, back-office, opérateurs de marché, administrateurs des chaînes de paiement, prestataires d'infogérance. L'authentification forte du client payeur relève d'un autre périmètre, celui de DSP2. Deux textes, deux populations, deux dossiers de preuve.
Cet article propose une lecture opérationnelle et ne constitue pas un avis juridique. La qualification de votre établissement et celle de vos prestataires au regard du règlement doivent être confirmées avec vos conseils.
Deux périmètres à ne pas confondre
DSP2 protège le client payeur : deux facteurs de catégories distinctes, liés dynamiquement au montant et au bénéficiaire. Ce sujet est traité dans notre page dédiée à l'authentification forte côté paiement.
DORA protège la capacité de l'établissement à continuer de fonctionner : risque lié aux TIC, contrôles d'accès et identités, tests de résilience, incidents, prestataires de services TIC. Un parcours de virement client conforme à DSP2 ne dit rien de la façon dont un gestionnaire de back-office valide ce même virement en interne, ni de la manière dont un infogérant accède au serveur qui l'exécute. La logique générale du règlement et la méthode de mise en conformité sont détaillées dans notre page DORA et l'authentification ; ce qui suit entre dans les populations bancaires.
Les accès internes qui portent le risque
Conseillers en agence et centres de relation client
C'est la population la plus exposée et la plus contrainte. Le conseiller ouvre sa session le matin, enchaîne les clients, se déplace entre postes, parfois entre agences. Chaque seconde d'authentification est visible par le client assis en face de lui. Résultat observé partout : sessions laissées ouvertes, postes partagés dans les faits, contournements silencieux.
Deux risques se superposent. Un attaquant qui prend la main sur un compte conseiller obtient un accès légitime aux dossiers clients, sans déclencher les contrôles antifraude orientés client. Et l'usurpation du conseiller auprès du client est désormais outillée par la synthèse vocale — voir notre page sur la fraude au faux conseiller.
Back-office et opérations à quatre yeux
Le contrôle à quatre yeux est une mesure de résilience, pas une formalité. Il ne vaut que si le second valideur est une personne distincte, réellement présente, et que sa validation porte sur l'opération telle qu'elle s'affiche. Trois défaillances l'annulent : le partage d'un identifiant en période de pointe, la délégation permanente à un compte de suppléance, et la validation « à l'aveugle » d'un lot dont le contenu n'est plus vérifié.
Salle des marchés
Contraintes propres : latence, terminaux dédiés, smartphone parfois restreint sur le plateau, horaires étendus, escalades en incident où l'on demande de valider vite. Les comptes de desk partagés y survivent longtemps, parce qu'ils sont commodes. Or un compte partagé ne produit aucune traçabilité nominative : le jour où une opération est contestée, la question « qui » n'a pas de réponse.
Comptes à privilèges sur les chaînes de paiement et de règlement
Administrateurs des systèmes de règlement, exploitants des référentiels de bénéficiaires, comptes de service portant les traitements automatisés, accès d'exception ouverts pendant un incident. Population réduite, pouvoir maximal. Trois points méritent une revue documentée : les comptes de service dont le secret n'a jamais tourné, les accès d'exception restés ouverts, et les comptes d'administration accessibles depuis un poste bureautique ordinaire.
Prestataires d'infogérance et éditeurs
Ils interviennent à distance, hors de vos horaires, parfois via leurs propres outils et leurs propres sous-traitants. Côté accès, la maîtrise du risque tiers se traduit par des comptes nominatifs, une ouverture limitée dans le temps, un enregistrement des sessions et une preuve de fermeture en fin de contrat.
Télétravail des opérateurs
Les fonctions sensibles s'exercent aussi depuis le domicile. Le poste peut être professionnel, le réseau ne l'est pas, et le contrôle visuel du plateau disparaît. La question n'est pas d'interdire, mais de savoir quelles opérations restent exécutables hors des locaux, et avec quelle preuve.
| Population | Systèmes atteints | Contrainte métier | Faiblesse d'accès fréquente |
|---|---|---|---|
| Conseillers en agence | Dossiers clients, ouverture de produits | Rapidité devant le client, mobilité | Session persistante, poste partagé de fait |
| Centre de relation client | Consultation, modification de coordonnées | Volume d'appels, temps de traitement | Pas de réauthentification sur les actions sensibles |
| Back-office | Exécution et validation d'opérations | Pics de traitement, absences à couvrir | Identifiant prêté, suppléance permanente |
| Salle des marchés | Terminaux de négociation, positions | Latence, smartphone restreint | Compte de desk partagé, non nominatif |
| Administrateurs paiement | Chaînes de règlement, référentiels | Continuité d'exploitation, astreinte | Accès d'exception laissé ouvert |
| Infogérance et éditeurs | Serveurs, bases, ordonnancement | Interventions hors horaires | Compte de société, sous-traitance invisible |
Ce que les tests de résilience impliquent côté accès
Le pilier « tests » se prête à des scénarios bancaires concrets, jouables sans arrêter la production :
- Indisponibilité du fournisseur d'identité un jour de clôture. Le mode dégradé ramène-t-il à une méthode plus faible ?
- Relais en temps réel sur le portail conseiller. Le facteur résiste-t-il à une interception, ou se contente-t-il d'être retransmis ?
- Sollicitations répétées pendant une astreinte de nuit. Combien avant qu'une validation parte ?
- Perte du terminal d'un opérateur de marché en séance. Le parcours de secours est-il plus faible que le parcours nominal ?
- Départ d'un prestataire. Délai réel entre la fin de mission et la fermeture des accès.
Chaque scénario mérite un critère de réussite écrit avant l'exercice, et une trace après. C'est ce couple qui transforme un test en élément de preuve.
Séquence réaliste sur un trimestre
Commencez par les comptes à privilèges et les comptes de service des chaînes de paiement : petit périmètre, effet immédiat. Traitez ensuite la validation en back-office, en attachant la preuve à l'opération affichée plutôt qu'à la session. Puis les conseillers, où le sujet est autant ergonomique que technique : une méthode qui coûte trois secondes de trop sera contournée. Un overlay d'une MFA existante permet de renforcer ces parcours l'un après l'autre, sans chantier IAM global.
FAQ
Notre conformité DSP2 couvre-t-elle nos obligations DORA ?
Non. DSP2 porte sur l'authentification du client payeur pour ses opérations de paiement. DORA porte sur la résilience opérationnelle de l'établissement, donc sur vos accès internes, vos tests et vos prestataires. Les deux dossiers de preuve restent distincts.
Faut-il imposer aux infogérants le même niveau qu'aux salariés ?
C'est la position la plus défendable en audit : un accès administrateur ne devient pas moins sensible parce qu'il est exercé par un tiers. Comptes nominatifs, ouverture limitée dans le temps et preuve de révocation sont à obtenir en priorité, sous-traitants de second rang compris.
Comment sécuriser les postes d'agence sans ralentir l'accueil ?
En séparant l'ouverture de session de la validation des actions sensibles. La session reste fluide si chaque action à enjeu — modification de coordonnées, opération sur un compte tiers — exige une preuve d'intention courte, liée à ce qui est affiché.
La salle des marchés peut-elle être traitée à part pour raison de latence ?
Une exception permanente se justifie mal ; une adaptation documentée, oui. Un facteur compatible avec les contraintes du plateau, associé à des comptes strictement nominatifs, est plus solide qu'une dérogation générale que rien n'objective.
Aller plus loin : pilier : authentification cognitive · valider un virement de façon opposable