Processus, BPM, RPA et dématérialisation des opérations bancaires : audit, conseil, formation et assistance technique pour la banque

Cadre juridique et normatif des opérations bancaires dématérialisées

Preuve, signature électronique et règlement eIDAS

Dématérialiser une opération, c'est d'abord pouvoir en apporter la preuve. Le règlement (UE) n° 910/2014, dit eIDAS, modifié par le règlement (UE) 2024/1183 (en vigueur depuis le 20 mai 2024), fixe le cadre des services de confiance : signature, cachet et horodatage électroniques. Son article 25 interdit de refuser tout effet juridique à une signature au seul motif qu'elle est électronique, et donne à la signature électronique qualifiée un effet équivalent à celui d'une signature manuscrite. Les prestataires de services de confiance qualifiés figurent sur une liste de confiance, et l'ANSSI (Agence nationale de la sécurité des systèmes d'information) est l'organe de contrôle français : voir la présentation de l'ANSSI.

En droit français, le code civil admet l'écrit électronique comme preuve à condition que son auteur puisse être identifié et que son intégrité soit garantie dans le temps (articles 1366 et 1367). Le choix du niveau de signature, simple, avancée ou qualifiée, dépend du document, du risque de contestation et de l'enjeu : une convention de compte, un contrat de crédit et une attestation interne n'appellent pas la même preuve. Le règlement eIDAS 2 prévoit aussi un portefeuille européen d'identité numérique, attendu à la fin de 2026 selon les sources que nous avons lues, dont les banques devront ensuite accepter l'usage : cette échéance doit être suivie.

Capture, copie et archivage des documents

Les pièces d'un dossier (justificatifs d'identité, pièces de crédit, courriers, contrats signés) arrivent sur papier, par courriel ou par application. La capture consiste à les numériser ou à les recevoir, en extraire les données, les classer et les rattacher au bon dossier. Une copie numérique ne remplace l'original que si elle est fiable : le code civil et le décret n° 2016-1673 du 5 décembre 2016 en fixent les conditions. L'établissement décide alors de conserver ou de détruire l'original, selon sa politique et ses obligations.

La durée de conservation dépend du type de pièce : les documents d'identification et les opérations au titre de la lutte contre le blanchiment sont conservés cinq ans à partir de la clôture du compte ou de l'exécution de l'opération (article L. 561-12 du code monétaire et financier), les pièces comptables dix ans (article L. 123-22 du code de commerce). Ces durées se combinent avec celles du RGPD : conserver plus longtemps que nécessaire est une faute, comme détruire trop tôt.

ISO 15489, MoReq et NF Z42-013

La norme ISO (International Organization for Standardization, Organisation internationale de normalisation) 15489-1:2016 définit les concepts et principes de la gestion des documents d'activité : création, capture, classement, accès, conservation, sort final. MoReq (Model Requirements for the Management of Electronic Records), publié par le DLM (Data Lifecycle Management, gestion du cycle de vie des données) Forum, en est la déclinaison en exigences fonctionnelles pour les systèmes de gestion de documents d'activité. En France, la norme NF (norme française) Z42-013, dont l'édition en vigueur date de 2020 selon l'AFNOR (Association française de normalisation), précise les exigences fonctionnelles, organisationnelles et de sécurité d'un système d'archivage électronique : voir la fiche de l'AFNOR. Ces textes sont des référentiels de bonnes pratiques : un outil peut s'en inspirer, et une organisation peut s'y référer, sans que la norme vaille certification ni garantie de recevabilité.

Ces règles se rencontrent dans des processus concrets : l'entrée en relation, où les pièces d'identité et de domicile alimentent le dossier de connaissance du client, l'instruction d'un crédit, avec ses pièces justificatives et ses offres signées, le traitement des réclamations, pour lequel l'ACPR (Autorité de contrôle prudentiel et de résolution) a publié la recommandation 2024-R-02 du 2 juillet 2024, qui remplace la recommandation 2022-R-01, sur les délais et la traçabilité, ou encore les courriers réglementaires envoyés aux clients. Dans chacun, la question est la même : qui a reçu quelle pièce, quand, sous quelle forme, et que peut-on reconstituer en cas de contrôle ou de litige.

Contrôle interne, prestataires et protection des données

Le contrôle interne s'applique à l'automatisation

L'arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque, des services de paiement et des services d'investissement attend des procédures formalisées, un contrôle permanent et périodique et la maîtrise des activités externalisées : voir le texte sur Légifrance. Un processus automatisé reste un processus de l'établissement. Un robot qui saisit dans un système bancaire utilise un compte, des droits et des données : il se recense, a un propriétaire, produit des journaux et se contrôle comme une application. Les contrôles de premier niveau intégrés au flux (double validation, seuils, rapprochements) doivent survivre à l'automatisation, pas disparaître avec elle.

DORA, éditeurs et prestataires

Les outils de workflow, de robotisation, de capture et d'archivage sont des services TIC (technologies de l'information et de la communication). Le règlement (UE) 2022/2554 (DORA), applicable depuis le 17 janvier 2025, impose aux entités financières une gestion du risque lié aux prestataires de services TIC, un registre d'informations et des clauses contractuelles. Lorsque l'outil est hébergé chez l'éditeur, la chaîne de sous-traitance, la réversibilité et la sortie se traitent dès le choix. Les orientations de l'Autorité bancaire européenne sur l'externalisation (EBA/GL/2019/02) et les articles de l'arrêté de 2014 sur les prestations essentielles ou importantes s'ajoutent à DORA (Digital Operational Resilience Act, règlement européen sur la résilience opérationnelle numérique). Voir la page de l'Autorité bancaire européenne pour ses orientations.

Protection des données et décisions automatisées

Un processus qui manipule des dossiers de clients traite des données personnelles : minimisation, durées de conservation, droits d'accès et, pour les extractions de journaux, information des personnes concernées. L'analyse de journaux d'événements par process mining peut aussi révéler l'activité de salariés, ce qui appelle l'information, et selon le cas la consultation, des représentants du personnel. Lorsqu'un moteur de règles aboutit seul à une décision qui affecte significativement un client, par exemple un refus de crédit, l'article 22 du règlement (UE) 2016/679 s'applique avec ses garanties d'intervention humaine. Un moteur de règles purement déterministe n'est en principe pas un système d'IA (intelligence artificielle) au sens du règlement (UE) 2024/1689, mais la qualification se fait cas par cas et change si un modèle apprenant est ajouté.

Méthodes et technologies

Modéliser et mesurer : BPMN, DMN et process mining

La notation BPMN (Business Process Model and Notation, notation de modélisation des processus), normalisée par l'OMG (Object Management Group, consortium de normalisation des notations BPMN et UML) (et par l'ISO/IEC 19510), décrit un processus de façon lisible par les métiers comme par les informaticiens. La notation DMN (Decision Model and Notation, notation de modélisation des décisions) décrit les règles de décision sous forme de tables. Le process mining reconstitue les parcours réels des dossiers à partir des journaux des applications, et montre les écarts entre la procédure écrite et la pratique : reprises, attentes, contournements. Sa valeur dépend de la qualité des journaux, qui sont souvent incomplets dans un patrimoine applicatif ancien.

Workflows, robots et moteurs de décision

Un workflow orchestre les tâches entre personnes et applications. Un robot logiciel (RPA) reproduit des gestes sur des écrans lorsqu'aucune interface applicative n'existe : solution d'attente, fragile face aux changements d'écran, à éviter lorsqu'une intégration par interface est possible. Un moteur de règles ou de décision sépare les règles de gestion du code, ce qui permet de les relire et de les modifier avec un historique. Dans les trois cas, les droits d'accès, la journalisation, la gestion des changements et le plan de reprise font partie de la conception, pas de l'exploitation seule. Les outils cités par les thèmes du domaine sont des exemples étudiés en audit, en conception ou en formation. Optédif n'est ni partenaire ni revendeur de leurs éditeurs, dont les marques appartiennent à leurs titulaires.

Lean Six Sigma

Le Lean cherche à supprimer les gaspillages d'un processus (attentes, reprises, doubles saisies), le Six Sigma à réduire la variabilité par la mesure, selon le cycle DMAIC : définir, mesurer, analyser, améliorer, contrôler. En banque, ces méthodes servent à décider quoi améliorer avant d'automatiser : automatiser un processus mal conçu ne fait que figer ses défauts.

Rôles et responsabilités

Dans l'établissement

Le propriétaire du processus en répond. Le responsable organisation et processus pilote la modélisation et l'amélioration. Le responsable du contrôle permanent et du risque opérationnel vérifie que les contrôles survivent à l'automatisation. Le responsable conformité et le délégué à la protection des données arbitrent les durées de conservation et les données traitées. Le responsable de la sécurité des systèmes d'information encadre les comptes des robots, et l'audit interne contrôle l'ensemble.

Pour les prestataires

Le prestataire livre des modèles, des spécifications, des robots, un paramétrage ou une formation, selon un périmètre défini. Il n'est pas le propriétaire du processus. Si la prestation soutient une activité essentielle ou importante, l'établissement apprécie si elle constitue une externalisation soumise à notification et à registre.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Nous auditons des processus et leur potentiel d'automatisation, nous conseillons sur l'organisation, l'outillage et la politique de preuve et d'archivage, nous modélisons et spécifions des workflows, des règles de décision et des robots, nous déployons des outils dans vos environnements d'intégration et de recette, nous assurons des missions d'assistance technique au forfait ou en récurrent, et nous formons. Les missions d'assistance technique sont réalisées par des intervenants d'Optédif, sous la responsabilité et la direction d'Optédif, dans le cadre d'un contrat de prestation de services portant sur un objectif, un livrable ou un périmètre défini avec vous. Le secret bancaire et la confidentialité s'appliquent à toute notre équipe, et nous travaillons sur des dossiers anonymisés ou fictifs par défaut.

Ce que nous ne faisons pas

Optédif n'est pas un établissement de crédit, ne reçoit aucun fonds du public et n'exerce aucune opération de banque, de paiement, d'intermédiation ni d'investissement. Nous ne délivrons aucun agrément, aucune certification, aucune attestation de conformité de votre archivage, de votre signature ou de votre dispositif de contrôle, et nous ne garantissons le résultat d'aucun contrôle. Nous n'accédons à des données de clients que dans un cadre contractuel préalable, avec des droits d'accès limités. L'établissement conserve la responsabilité de ses fonctions de contrôle et de ses décisions. Nous ne promettons aucun gain chiffré : une automatisation se mesure processus par processus, avant et après. Les cas d'usage décrits sur ce site sont des exemples construits.

Références officielles

Pour aller plus loin : le règlement (UE) n° 910/2014, le règlement (UE) 2024/1183, le règlement (UE) 2022/2554, le site du DLM Forum, la spécification BPMN et la spécification DMN de l'OMG. EUR-Lex s'ouvre parfois mal selon le navigateur. Les textes doivent être relus dans leur version en vigueur.