Transmission of Cyber Risk Through the Canadian Wholesale Payment System

Les cyberrisques et autres risques opérationnels – comme ceux liés aux changements climatiques – suscitent des préoccupations croissantes. En réaction, des organisations internationales, des banques centrales et des entités du secteur privé ont pris des mesures concertées pour accroître la résilience opérationnelle et la résilience des données des institutions financières et des infrastructures de marchés financiers, dont les systèmes de paiement. Au Canada, la Banque du Canada a mis sur pied et dirige le Groupe sur la résilience du secteur financier canadien et le Programme de résilience du système de paiement de gros (RSPG). Ces deux structures servent de cadre à la coordination nationale de la réponse sectorielle en cas d’incidents opérationnels systémiques, comme les cyberattaques (plus de précisions dans Dinis, 2021).

Dans cette étude menée dans le cadre du programme RSPG, nous cherchons à déterminer à quel point le choc causé par une cyberattaque rendant une ou plusieurs banques incapables d’envoyer des paiements se transmettrait à d’autres par l’intermédiaire du système de paiement de gros canadien. Sur la base de données historiques sur les paiements, nous simulons un large éventail de scénarios et évaluons l’ampleur des perturbations sur les paiements traités par le système. Nos résultats indiquent qu’une attaque peut entraîner rapidement des effets systémiques et une perte importante de liquidité dans l’ensemble du système, selon le type et le nombre de banques ciblées par l’attaque, le moment où celle-ci est déclenchée et la conception du système de paiement. Nous montrons également qu’il est possible d’atténuer considérablement l’impact systémique d’une attaque s’il y a en place des plans d’urgence pour permettre aux banques touchées de continuer à envoyer de gros paiements. Étant donné le degré d’interconnexion entre les banques, nous concluons que la cyberrésilience d’un système de paiement de gros est largement dépendante de la cyberrésilience de ses participants, et nous soulignons l’importance d’une collaboration et d’une coordination sectorielles fortes.