Finance & Assurance

En produisant la preuve en continu plutôt qu'avant le contrôle. DORA s'applique depuis le 17 janvier 2025 et attend trois choses tenues à jour : le registre des prestataires informatiques, jusqu'aux sous-traitants et aux chaînes de dépendances, le journal des incidents, et des tests de continuité réellement rejoués. Nous alimentons ces artefacts depuis vos systèmes, de sorte que le registre reflète l'état réel du parc plutôt qu'un tableur reconstitué. Les tests de pénétration fondés sur la menace, exigés des entités désignées comme significatives, restent conduits par des testeurs externes indépendants : nous préparons le périmètre et les scénarios, nous ne signons pas le test.

Le calendrier a bougé. Le règlement 2026/1744 du 24 juillet 2026 a reporté les obligations applicables aux systèmes à haut risque au 2 décembre 2027, et au 2 août 2028 pour l'IA intégrée à un produit déjà réglementé. Un scoring d'octroi de crédit relève bien de cette catégorie, un dispositif anti-fraude pas systématiquement : cela dépend de ce que la décision produit pour la personne concernée. Ce délai supplémentaire sert à constituer la documentation technique, les tests de robustesse et la trace des décisions pendant que les modèles tournent, plutôt qu'à reprendre le sujet en 2027. Anis Zouaoui, notre fondateur, a détaillé cette méthode à La Matinale IT for Business en avril 2026, aux côtés d'EY, Salesforce et Informatica.

La bonne question n'est pas la latence du modèle mais la fenêtre de décision de votre chaîne de paiement, budget réseau et enrichissement compris. Nous partons de cette fenêtre et dimensionnons l'inférence pour tenir dedans avec de la marge, en la branchant sur le bus de messages que vous utilisez déjà. Deux points comptent autant que la vitesse : un repli sur règles métier quand un modèle devient indisponible, pour qu'une panne d'inférence n'arrête jamais un paiement, et le taux de faux positifs mesuré avant et après, parce qu'un modèle rapide qui bloque des clients légitimes coûte plus cher que la fraude qu'il évite.

Par le tri, avant l'hébergement. Nous classons d'abord les données selon ce qu'elles exposent, puis nous routons : ce qui est sensible reste dans votre périmètre ou sur un cloud qualifié, le reste peut passer par un modèle externe sous contrat de sous-traitance et avec une localisation garantie. Un modèle ouvert opéré chez vous couvre déjà une grande part des usages internes. Cette décomposition importe aussi pour DORA : c'est elle qui rend une stratégie de sortie crédible, et une sortie ne devient réelle que le jour où elle a été essayée.

Depuis le 9 octobre 2025, tout prestataire de paiement de la zone euro doit vérifier la concordance entre le nom du bénéficiaire et l'IBAN, sur le virement classique comme sur l'instantané, et sans facturer ce service. La vérification ne bloque pas le paiement : elle rend trois réponses, correspondance exacte, approchante ou absente, et c'est votre parcours qui décide de la suite. Le travail réel se situe là : formuler l'alerte pour qu'elle soit lue, calibrer le seuil de correspondance approchante, et traiter les faux positifs sur les raisons sociales, qui sont le premier volume à absorber.

Le cadrage prend 2 à 6 semaines selon le périmètre et le niveau de conformité exigé. Une première version éprouvée par un groupe de conseillers suit en 4 à 10 semaines, selon la qualité de votre base documentaire, qui est presque toujours le facteur déterminant. Le déploiement sur le réseau, avec la gouvernance et la formation, se compte en 3 à 6 mois. Ces fourchettes sont celles que nous appliquons partout, et elles sont suivies de ce qui les fait varier : une durée annoncée sans sa variable ne sert qu'à être dépassée.