Du PCA/PRA au PUPA : votre plan de continuité doit désormais se lire avec DORA
- Par Equipe BPA
Article d’origine du 04/03/2020, mis à jour le 27/10/2026.
Les banques françaises doivent disposer d’un plan d’urgence et de poursuite de l’activité (PUPA). L’arrêté du 3 novembre 2014 sur le contrôle interne le définit, sous le contrôle de l’ACPR. Depuis le 17 janvier 2025, le règlement DORA y ajoute des exigences sur les systèmes d’information. Votre dispositif de continuité doit donc articuler deux textes. Nous vous montrons comment.
L’essentiel
- Le fait : le PUPA reste le plan de référence des banques. DORA impose en plus une politique de continuité et des plans de réponse et de rétablissement pour les systèmes d’information (TIC).
- À qui il s’applique : aux entreprises de la banque, des services de paiement et des services d’investissement soumises à l’arrêté de 2014, et aux entités financières couvertes par DORA.
- Ce qui change : deux cadres à articuler, des tests documentés, et une description attendue par l’ACPR dans le rapport annuel sur le contrôle interne.
Le fait : un plan de continuité vu par l'arrêté de 2014
Le langage courant distingue le PCA et le PRA. Le PCA vise à éviter l’interruption. Le PRA organise le redémarrage.
L’arrêté de 2014 parle d’un PUPA. C’est un ensemble de mesures qui maintiennent les services essentiels, si besoin en mode dégradé. Il prévoit ensuite une reprise planifiée. Le plan repose sur une analyse des impacts.
En 2021, l’ACPR a précisé ses attentes dans une notice sur le risque informatique. Les scénarios devaient inclure la cyberattaque. Le plan devait être mis à jour au moins chaque année.
Où en est-on en 2026 ?
Le PUPA reste le socle. L’annexe TIC du rapport sur le contrôle interne 2026, publiée en août 2026, le rattache à l’arrêté de 2014. Elle demande de décrire les rôles, la politique, l’analyse d’impact, les plans et les résultats des contrôles. Le PUPA s’établit sur la base de scénarios de menaces et de perturbations ou de chocs probables.
DORA s’applique depuis le 17 janvier 2025. Son article 11 traite de la continuité des activités TIC et des plans de réponse et de rétablissement. Le règlement délégué (UE) 2024/1774 détaille la politique de continuité et les tests.
L’ACPR sépare trois blocs. Le PUPA, la continuité informatique et la gestion de crise. L’annexe doit lui parvenir avant le 30 avril qui suit la clôture de l’exercice.
Les orientations de l’ABE ont été resserrées. Les orientations sur la gestion des risques TIC (EBA/GL/2019/04) ont été modifiées le 11 février 2025. Leur champ se limite désormais aux prestataires de services de paiement visés. DORA harmonise le reste.
Un point reste ouvert. L’ACPR prévoyait d’ajuster l’arrêté de 2014 avec le projet de loi sur la résilience. Sa FAQ indique que certaines entités restent hors des exigences nationales tant que ce texte n’est pas adopté. Nous suivons ce calendrier.
Pour lire ces sources, distinguez quatre niveaux :
- Obligations légales : l’arrêté de 2014, DORA et son règlement délégué.
- Recommandations prudentielles : notices, FAQ et annexes de l’ACPR, orientations de l’ABE.
- Normes volontaires : elles peuvent structurer votre méthode, mais ne remplacent pas les textes.
- Pratiques de marché : le vocabulaire PCA/PRA reste répandu. Il ne dispense pas de parler PUPA avec l’ACPR.
Incidences pour votre établissement
Les impacts directs sont les obligations de l’arrêté et de DORA. Les impacts indirects touchent quatre compartiments.
- Gouvernance et stratégie : la continuité reste un sujet de pilotage par la direction générale. Scénarios, tolérance aux interruptions et arbitrages budgétaires y sont discutés.
- Organisation, processus et procédures : un seul référentiel de scénarios, des procédures de bascule testées, un dispositif unique pour la gestion de crise.
- Ressources humaines : des rôles clairement attribués, des suppléants, des exercices réguliers.
- Systèmes d’information : des objectifs de reprise par actif, des sauvegardes isolées, des tests de restauration, un suivi des prestataires TIC.
Conduite à tenir
- Cartographiez vos processus critiques ou importants et les actifs TIC qui les supportent, y compris chez vos prestataires, en intégrant les modalités d’externalisation.
- Rapprochez votre PUPA et vos plans de réponse et de rétablissement TIC dans une même architecture documentaire.
- Fixez par scénario les durées maximales d’interruption et les pertes de données tolérées.
- Testez les plans. Conservez les résultats, les écarts et les plans d’action.
- Désignez les rôles de crise et leurs suppléants. Vérifiez les seuils d’activation.
- Préparez la réponse à l’annexe TIC avant le 30 avril, avec les résultats des contrôles et audits demandés.
- Suivez l’adoption du projet de loi sur la résilience et l’éventuel ajustement de l’arrêté.
Textes de référence
- Arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque, des services de paiement et des services d’investissement soumises au contrôle de l’ACPR
- Règlement (UE) 2022/2554 du 14 décembre 2022 (DORA)
- Règlement délégué (UE) 2024/1774 du 13 mars 2024
- ACPR, annexe TIC au rapport sur le contrôle interne 2026
- ACPR, notice sur la gestion du risque informatique (07/07/2021)
- ACPR, FAQ sur la directive et le règlement DORA
- ABE, orientations EBA/GL/2025/02 modifiant les orientations EBA/GL/2019/04
Ces articles PEUVENT AUSSI VOUS INTÉRESSER
EUROPE: L’UE se dote d’un outil de signalement pour faire respecter les sanctions
L'outil de signalement de l'Union européenne vise à s'assurer de la bonne application des décisions de sanctions européennes
EN LIRE PLUSFRANCE: L’AFA publie un projet de son guide pratique sur les enquêtes internes anticorruption (Mars 2022)
FRANCE: L’AFA publie un projet de son guide pratique sur les enquêtes internes anticorruption (Mars 2022) Projet de document en (...)
EN LIRE PLUSFRANCE: L’AMF ne peut plus sanctionner les entraves à ses contrôles et enquêtes?
La décision n° 2021-965 QPC du 28 janvier 2022 du Conseil Constitutionnel invalide la capacité de l'AMF à sanctionner les (...)
EN LIRE PLUS