Sean Inggs de Leeward sur le point de vue des conseils d'administration du Fonds pour combler les lacunes en matière de cyber-résilience

Les cyberattaques contre les entreprises financières font rarement la une des journaux en raison de la sophistication de leurs codes. Elles font la une en raison des failles de sécurité et des responsabilités de chacun. Pour les fonds d'investissement, cette question de responsabilité est plus complexe que ne le pensent la plupart des conseils d'administration, et c'est une lacune que Leeward, société de gouvernance et d'administrationdent basée aux îles Caïmans, juge urgente de combler.

« Les conseils d'administration se persuadent que la cybersécurité est prise en charge puisque le fonds ne gère aucun système en propre », explique Sean Inggs, administrateur indépendantdent Leeward. « Pourtant, les fonds et les données de leurs investisseurs transitent quotidiennement par un gestionnaire et un administrateur. C'est là que réside la surface d'attaque, et le conseil d'administration est responsable de sa supervision, que la réglementation mentionne ou non le fonds directement. »

Où s'applique la réglementation et où elle s'arrête

L’Autorité monétaire des îles Caïmans (CIMA) dispose depuis plusieurs années d’un régime contraignant en matière de cybersécurité, défini par son Règlement et sa Déclaration d’orientation sur la cybersécurité pour les entités réglementées. Ce Règlement confère la responsabilité ultime de la gestion des cyber-risques à l’organe directeur de l’entité, exige un cadre documenté pourdent, surveiller et gérer lesdent, prévoit des examensdent périodiques et oblige les entités concernées à signaler toutdentimportant à la CIMA dans un délai de 72 heures.

Ce qui surprend souvent les administrateurs, c'est le champ d'application de la règle. Elle s'applique aux gestionnaires de placements et à la plupart des autres entités réglementées par la CIMA, mais pas directement aux fonds communs de placement et aux fonds privés. Selon Leeward, c'est précisément cette distinction qui explique pourquoi les conseils d'administration des fonds ne peuvent pas considérer cela comme un problème qui ne les concerne pas.

« Le gestionnaire concerné est celui qui gère vos souscriptions et vos rachats », a déclaré Inggs. « Le risque affecte donc le fonds même si la règle ne le prévoit pas. Un administrateur qui s'arrête à la mention "le fonds est hors champ d'application" s'arrête trop tôt. »

Des questionnaires à une véritable surveillance

Leeward estime que la plupart des fonds collectent déjà les documents requis et en demandent trop peu. Un rapport d'audit ou un questionnaire de sécurité annuel d'un prestataire de services confirme l'existence d'une procédure, mais ne garantit pas la survie du fonds en cas d'indisponibilité de ce prestataire.

Le cabinet encourage les conseils d'administration à passer de la simple formalité administrative à des tests opérationnels. Cela implique d'identifier les prestataires véritablement essentiels à la continuité du fonds, de connaître le plan de reprise d'activité en cas de défaillance de l'un d'eux et de s'assurer que la procédure de réponse à undent a bien été mise en pratique et non simplement documentée. Cela implique également une clarification du circuit de notification, afin que le conseil d'administration soit informé d'une violation suffisamment rapidement pour que cela ait une incidence, notamment compte tenu de l'obligation de déclaration sous 72 heures qui s'applique aux entités liées au fonds.

« La résilience est une question de continuité, et la continuité est la responsabilité du conseil d'administration », a déclaré Inggs. « Il n'est pas nécessaire d'auditer un pare-feu. Il faut savoir ce qui se passe le premier matin d'undent, et il faut le savoir avant même que ce matin n'arrive. »

La divulgation accroît les enjeux

La pression s'accentue également du côté de la transparence. Lorsque les îles Caïmans ont actualisé leur cadre réglementaire relatif aux fonds début 2026, elles ont introduit des exigences concernant la description des risques liés aux technologies, notamment en matière de cybersécurité, et l'explication des mesures d'atténuation mises en place dans les documents d'offre. Les investisseurs examineront attentivement ces déclarations et les mettront à l'épreuve.

Leeward prévoit que la résilience opérationnelle deviendra une composante essentielle des vérifications préalables institutionnelles, et non plus une préoccupation marginale. Selon la société, les fonds dont le conseil d'administration est véritablement impliqué sur cette question auront plus de facilité à attirer et à conserver des capitaux institutionnels que ceux qui considèrent le risque cybernétique comme un simple détail technique.

« Les fonds qui réussissent dans ce domaine ne sont pas ceux dont les politiques sont les plus anciennes », Inggs . « Ce sont ceux dont le conseil d'administration peut vous expliquer clairement comment le fonds continue de fonctionner même en période difficile. »

Leeward propose des services de direction indépendantedent de gouvernance depuis les îles Caïmans. Sean Inggs estdent chez Leeward et administrateur professionnel agréé en vertu de la loi des îles Caïmans sur l'enregistrement et l'agrément des administrateurs. Il possède plus de 20 ans d'expérience internationale en droit et gouvernance, notamment dans les domaines des fonds spéculatifs, du capital-investissement, des structures de family office et des entreprises blockchain. Pour en savoir plus, consultez leeward.ky.