2 Le stockage d’archives dans les services financiers s’accompagne d’obligations que la plupart des stockages d’entreprise ne connaissent jamais. Banques, courtiers, gestionnaires d’actifs et assureurs doivent conserver communications, enregistrements de transactions, documents clients et preuves d’audit pendant des années, parfois des décennies, sous des formes que les régulateurs reconnaissent comme infalsifiables. Ils doivent retrouver rapidement des enregistrements précis lorsque les superviseurs ou les tribunaux le demandent, poser des gels qui priment sur la suppression et prouver que rien n’a été modifié. Les volumes sont importants et en croissance, des e-mails et du chat aux enregistrements vocaux et aux données de transactions, et les règles diffèrent entre les États-Unis, l’Europe, le Royaume-Uni et l’Asie. Cet article explique ce que contiennent les archives réglementaires, les exigences qui façonnent le stockage dans les grandes régions, les capacités de stockage recherchées par les banques et comment concevoir une plateforme d’archivage évolutive. Il s’agit d’informations générales et non d’un conseil juridique ; les établissements doivent confirmer les exigences avec leurs équipes conformité et juridiques. Ce que contient l’archive réglementaire d’une banque Communications électroniques : e-mails, messagerie instantanée, plateformes collaboratives et, de plus en plus, messagerie mobile. Enregistrements vocaux : turrets des traders, appels mobiles et appels des centres de contact. Enregistrements de transactions : ordres, exécutions, confirmations et déclarations. Dossiers clients : ouverture de compte, dossiers de connaissance client (KYC) et correspondance. Documents financiers et d’audit : grands livres, rapports, dossiers de travail et preuves d’audit. Archives applicatives : données de systèmes retirés conservées pour des raisons réglementaires. Beaucoup de ces contenus résident dans des applications d’archivage distinctes, chacune avec son propre stockage, ce qui explique en partie pourquoi les établissements cherchent à les consolider sur une plateforme d’archivage commune. Les exigences réglementaires par région États-Unis La règle SEC 17a-4 impose aux courtiers (broker-dealers) de conserver certains documents pendant des durées définies, souvent trois ou six ans, les deux premières années en accès facile. Les documents électroniques doivent être conservés soit dans un format non réinscriptible et non effaçable, appelé WORM, soit, depuis les amendements adoptés en 2022, dans un système qui tient une piste d’audit complète et horodatée des modifications et suppressions. Les règles de la FINRA et les règles de conservation de la CFTC pour les contrats à terme et les swaps ajoutent d’autres exigences, notamment la conservation des enregistrements de swaps pendant toute leur durée et au-delà. Union européenne MiFID II impose aux entreprises d’investissement d’enregistrer les conversations téléphoniques et les communications électroniques relatives aux transactions et de les conserver cinq ans, durée extensible à sept ans à la demande de l’autorité compétente. Le RGPD s’applique aux données personnelles des archives : la conservation doit être justifiée et les données protégées. DORA ajoute des obligations de gestion du risque lié aux TIC et de résilience pour les entités financières, sauvegarde et reprise comprises. Royaume-Uni Les exigences d’enregistrement de la FCA reprennent largement celles de MiFID II et imposent généralement une conservation de cinq ans, et jusqu’à sept ans si la FCA le demande. Le UK GDPR régit les données personnelles. Asie-Pacifique et Moyen-Orient Les régulateurs au Japon, à Singapour, à Hong Kong, aux Émirats arabes unis et ailleurs fixent leurs propres règles de conservation et d’externalisation, souvent assorties d’attentes sur la localisation des données, l’accès des superviseurs et la résilience. De nombreux établissements gardent leurs archives réglementées dans le pays pour simplifier la conformité. Les capacités de stockage recherchées par les banques Immuabilité ou piste d’audit Les enregistrements réglementés doivent être protégés contre la modification et la suppression anticipée. Le verrouillage d’objets (en anglais) en mode conformité offre une conservation WORM que même les administrateurs ne peuvent pas contourner. Les équipes conformité demandent couramment des évaluations indépendantes des capacités WORM d’une plateforme de stockage au regard de la règle SEC 17a-4 et des règles associées. Gestion de la conservation Les types d’enregistrements ont des durées de conservation différentes, qui peuvent varier selon la juridiction. Le stockage et les applications d’archivage doivent appliquer la conservation par enregistrement ou par catégorie et faire expirer les enregistrements à la fin de leur conservation. Gels juridiques Contentieux, enquêtes et demandes réglementaires exigent des gels qui suspendent la suppression de certains enregistrements jusqu’à leur levée, quelles que soient les dates de conservation. Recherche et restitution Régulateurs et tribunaux attendent une production rapide. L’application d’archivage fournit la recherche et l’eDiscovery ; le stockage doit livrer les enregistrements rapidement, y compris pour les productions volumineuses. Durabilité et résilience Les archives doivent survivre aux pannes matérielles et à la perte d’un site. Cela suppose un codage à effacement au sein d’un site et des copies sur un second site, avec une reprise testée. Sécurité et contrôle d’accès Les archives contiennent des données très sensibles. Chiffrement, contrôle d’accès strict, séparation des tâches et journalisation d’audit sont indispensables. Résidence des données De nombreux établissements doivent conserver certains enregistrements dans des pays précis, ou être en mesure de montrer aux régulateurs exactement où résident les données. Évolutivité et coût Les archives de communications croissent vite, surtout avec la voix, la vidéo et les données collaboratives. Le stockage doit monter jusqu’au pétaoctet à un coût par téraoctet soutenable, sur des durées de conservation qui dépassent la vie des générations de matériel. Architecture : consolider les archives Beaucoup de banques exploitent plusieurs applications d’archivage pour les e-mails, la voix, les données de transactions et les documents, chacune avec son stockage dédié. Consolider la couche de stockage sur une plateforme unique de stockage objet compatible S3, en gardant les applications spécialisées au-dessus, réduit les coûts, simplifie la conservation et l’immuabilité et homogénéise la résilience. Chaque application utilise ses propres buckets et politiques, avec le verrouillage d’objets là où il est requis. De nouveaux canaux de communication ne cessent d’apparaître Les régulateurs ont clairement indiqué que les obligations de conservation suivent l’activité, pas le canal. Les sanctions prononcées ces dernières années pour l’usage par des salariés d’applications de messagerie non approuvées ont poussé les établissements à capter davantage de canaux, dont la messagerie mobile, les chats des plateformes collaboratives, les enregistrements de réunions et leurs transcriptions. Chaque nouveau canal ajoute du volume et de nouveaux formats à l’archive. Les enregistrements de réunions vidéo, en particulier, peuvent être bien plus volumineux que les e-mails. Les plans de stockage doivent partir du principe que l’ensemble des canaux captés continuera de s’étendre et que la croissance des archives s’accélérera plutôt qu’elle ne se stabilisera. Les charges de supervision et de surveillance Les archives ne servent pas qu’à la conservation. Les équipes conformité exercent une surveillance sur les communications et les transactions pour détecter les abus de marché, les manquements et le risque de conduite, en recourant de plus en plus à l’analytique et aux modèles de langage sur de grands volumes de texte et de voix. Ces charges relisent les données archivées à répétition : le niveau d’archive doit donc offrir un débit raisonnable en plus de la capacité. Garder les données archivées sur un stockage objet en ligne, plutôt que sur des supports hors ligne, rend la surveillance et l’analytique possibles sans restauration préalable. Le coût sur toute la durée de conservation Le coût d’une archive doit être modélisé sur toute la durée de conservation, et pas seulement sur la première période contractuelle. Un enregistrement capté aujourd’hui peut devoir être conservé cinq à sept ans ou plus, à travers au moins un renouvellement du matériel. Un stockage qui se renouvelle sur place, sans migrer les enregistrements ni devoir redémontrer leur intégrité, évite l’un des coûts cachés les plus importants de l’archivage réglementé. Migrer les archives historiques Les banques conservent souvent des archives sur un stockage vieillissant ou dans d’anciens produits d’archivage. Les migrations doivent préserver l’intégrité des enregistrements, les métadonnées, les dates de conservation et les gels juridiques, et produire une piste d’audit montrant que rien n’a été perdu ni modifié. Travailler avec les équipes conformité et audit Les équipes stockage définissent rarement les exigences d’archivage, mais elles exploitent la plateforme qui doit y répondre. Associez tôt la conformité, la gestion des archives, le juridique et l’audit interne. Mettez-vous d’accord sur la destination de chaque type d’enregistrement, les règles de conservation et de gel applicables, la manière de produire la preuve de l’immuabilité et la fréquence des tests de contrôle. Fournissez des rapports sur les paramètres de verrouillage d’objets, les dates de conservation et les journaux d’accès, pour que les audits puissent être traités sans recherches manuelles. Liste de contrôle : stockage d’archives dans les services financiers Inventorier les types de contenus, les applications et le stockage des archives. Cartographier les exigences de conservation et de format par juridiction. Utiliser un stockage WORM ou à piste d’audit, avec des évaluations indépendantes. Appliquer la conservation par type d’enregistrement et prendre en charge les gels juridiques. Garantir une restitution rapide pour les productions réglementaires et juridiques. Protéger les archives par le chiffrement, le contrôle d’accès et les journaux d’audit. Garder les données dans les lieux requis. Concevoir une résilience multisite et tester la reprise. Consolider le stockage des archives sur une plateforme évolutive. Planifier les migrations avec des preuves d’intégrité et d’audit. En résumé Le stockage d’archives dans les services financiers doit garder les enregistrements inaltérés, correctement conservés et restituables à la demande sous plusieurs régimes réglementaires. Les règles américaines comme la SEC 17a-4, les règles européennes et britanniques issues de MiFID II et les règles locales en Asie et au Moyen-Orient fixent des durées et des formats différents, mais convergent vers les mêmes capacités de stockage : immuabilité ou piste d’audit, conservation et gels, résilience, sécurité et maîtrise de la localisation des données. Une plateforme de stockage objet consolidée et évolutive, dotée d’un verrouillage d’objets de niveau conformité, fournit cette base à toutes les applications d’archivage qui s’y appuient. Questions fréquentes Quel stockage les banques utilisent-elles pour leurs archives réglementaires ? Les banques utilisent généralement des applications d’archivage sur un stockage compatible WORM, de plus en plus un stockage objet compatible S3 avec verrouillage d’objets, réparti sur plusieurs sites. La règle SEC 17a-4 impose-t-elle toujours un stockage WORM ? Depuis les amendements adoptés en 2022, les courtiers peuvent utiliser un stockage WORM ou un système qui tient une piste d’audit complète et horodatée. Combien de temps faut-il conserver les communications MiFID II ? Cinq ans, et jusqu’à sept ans à la demande de l’autorité compétente. Qu’est-ce qu’un gel juridique ? Une instruction qui suspend la suppression de certains enregistrements en raison d’un contentieux, d’une enquête ou d’une demande réglementaire, quelle que soit la conservation normale. Les banques peuvent-elles conserver leurs archives dans le cloud ? Certaines le font, sous réserve des exigences d’externalisation, de résidence et de supervision. Beaucoup conservent leurs archives réglementées sur site ou dans des installations nationales. Pour aller plus loin Stockage des enregistrements MiFID II et Dodd-Frank Stockage des enregistrements vocaux de trading Conservation des documents d’assurance Conformité SEC 17a-4 (en anglais)
