Canada

Le Bureau du surintendant des institutions financières, ou « BSIF », est l'organisme fédéral de réglementation de toutes les banques au Canada, ainsi que des sociétés de fiducie et de prêt constituées ou enregistrées par le gouvernement fédéral, des compagnies d'assurance, des associations coopératives de crédit, des sociétés de secours mutuels et des régimes de retraite privés. Le BSIF est chargé de superviser les institutions financières sous réglementation fédérale (IFF) et les régimes de retraite afin de déterminer s'ils sont en bonne santé financière et conformes aux exigences applicables. Il publie également des réglementations et des directives qui peuvent avoir une incidence sur la manière dont les clients des services financiers utilisent AWS.

La Banque du Canada, la banque centrale du Canada, supervise directement les systèmes de compensation et de règlement, c'est-à-dire les infrastructures des marchés financiers (IMF). La Banque du Canada a la capacité de désigner certaines infrastructures des marchés financiers comme des « principaux systèmes de paiement » ou des « IMF d'importance systémique » et exige de ces entités qu'elles se conforment aux normes de gestion des risques. La Banque du Canada agit également en tant qu'autorité de surveillance pour les fournisseurs de services de paiement de détail (PSP) en vertu de la Loi sur les activités de paiement de détail (RPAA).

Chaque province et territoire du Canada possède ses propres organismes de réglementation chargés de faire appliquer la réglementation des valeurs mobilières et de superviser les autres activités de services financiers qui ne relèvent pas de la compétence des organismes de réglementation fédéraux. Les Autorités canadiennes en valeurs mobilières sont une organisation-cadre composée des autorités en valeurs mobilières de chaque province et territoire dans le but d'améliorer, de coordonner et d'harmoniser la réglementation des valeurs mobilières. L'Organisme canadien de réglementation des investissements (CIRO) est un organisme d'autoréglementation qui supervise les courtiers en valeurs mobilières, les courtiers en fonds communs de placement et les activités de négociation sur les marchés obligataires et boursiers du Canada.

Les institutions financières au Canada peuvent être soumises à un certain nombre de considérations juridiques et réglementaires différentes lorsqu'elles ont recours à des services cloud. Les réglementations et directives applicables aux institutions financières fédérales (« IFF ») sont notamment les suivantes :

• Ligne directrice no. du BSIF Le B-10 définit les attentes du BSIF en matière de gestion des risques associés aux arrangements avec des tiers. La ligne directrice s'applique à tous les accords conclus avec des tiers, y compris les services cloud, mais les attentes du BSIF sont évaluées en fonction du niveau de risque évalué et de l'importance de l'accord pour les activités de l'institution financière. La B-10 inclut des attentes spécifiques concernant la gestion des technologies et des cyber-risques dans le cadre d'accords avec des tiers, ainsi que des attentes spécifiques à l'adoption du cloud.
• Ligne directrice no. du BSIF Le B-13 décrit les attentes du BSIF en matière de saine gestion des risques technologiques et cybernétiques. Bien qu'il n'y ait pas d'exigences spécifiques aux services cloud, les résultats, les principes et les attentes s'appliquent à tous les aspects de la gestion des technologies et des risques cybernétiques, y compris le cloud computing.
  
• Ligne directrice no. du BSIF Le document E-21 définit les attentes du BSIF en matière de gestion du risque opérationnel par les entités réglementées, défini comme « le risque de perte résultant de personnes, de processus et de systèmes internes inadéquats ou défaillants, ou d'événements externes ». « Bien qu'elles ne soient pas spécifiques à l'utilisation du cloud, les attentes de cette directive s'appliquent à tous les aspects des opérations d'une entité réglementée, y compris celles qui sont rendues possibles par les services de cloud.
• L'avis du BSIF sur la déclaration des incidents liés à la technologie et à la cybersécurité régit la manière dont les institutions financières sous réglementation fédérale devraient divulguer et signaler les incidents liés à la technologie et à la cybersécurité au BSIF.
  
• Le BSIF a publié une auto-évaluation de la cybersécurité qui aide les IFF à évaluer et à améliorer leur état de préparation actuel face aux cybermenaces émergentes. L'auto-évaluation de la cybersécurité examine la capacité d'une IFF à réagir à un cyberincident dans des domaines allant de l'organisation et des ressources à la façon dont elle gère les menaces, les risques et les incidents, et permet aux IFF d'évaluer chaque élément sur une échelle allant de l'inexistant à l'amélioration continue.
  

La Banque du Canada a publié des normes de gestion des risques pour les IMF désignées sur la base des « Principes pour les IMF » établis par le Comité des paiements et des infrastructures de marché (CPMI) de la Banque des règlements internationaux (BRI) et l'Organisation internationale des commissions de valeurs (OICV). Outre ces normes générales de gestion des risques, la Banque du Canada a publié des lignes directrices spécifiques sur les attentes en matière de cyberrésilience des infrastructures des marchés financiers et sur le signalement des incidents liés à la cybersécurité et aux technologies de l'information.

La Loi sur les activités de paiement de détail (RPAA), ainsi que le Règlement sur les activités de paiement de détail (RPAR) connexe, créent un cadre pour réglementer les fournisseurs de services de paiement (PSP) au Canada. Les PSP qui entrent dans le champ d'application de la RPAA doivent s'enregistrer auprès de la Banque du Canada, mettre en œuvre des cadres de gestion des risques opérationnels, protéger les fonds des utilisateurs finaux, signaler les incidents importants et soumettre des rapports annuels pour rester en conformité avec la Loi.

Certains organismes de réglementation provinciaux tels que l'Autorité de réglementation des services financiers de l'Ontario (ARSF), l'Autorité des marchés financiers (AMF) au Québec et la British Columbia Financial Services Authority (BCFSA) ont publié des directives sur des sujets tels que la gestion des risques informatiques et l'externalisation qui peuvent s'appliquer à l'utilisation d'AWS par une institution financière dans ces provinces. Consultez le site Web de l'organisme de réglementation concerné pour plus de détails.

Les réglementations évoluent rapidement dans ce domaine et AWS s'efforce d'aider ses clients à répondre de manière proactive aux nouvelles règles et directives. AWS encourage les clients des services de ses institutions financières à obtenir des conseils appropriés sur leur conformité à toutes les exigences réglementaires et légales applicables à leur activité.

AWS s'engage à proposer à ses clients un cadre de conformité solide ainsi que des outils avancés et des mesures de sécurité que les clients peuvent utiliser pour évaluer et démontrer la conformité aux exigences légales et réglementaires applicables.

Les institutions financières qui utilisent ou prévoient d'utiliser les services AWS peuvent prendre les mesures suivantes pour mieux cerner leurs besoins en matière de conformité :

1. Tenir compte de la finalité de la ou des charges de travail envisagées et des catégories de données pertinentes afin d'anticiper les obligations réglementaires et légales susceptibles de s'appliquer.

2. Évaluez le niveau de risque et la criticité de la ou des charges de travail pertinentes par rapport aux opérations de l'institution financière. Ligne directrice no Le B-10 décrit les considérations relatives à l'évaluation du risque et de la criticité des arrangements avec des tiers.

3. Examiner le modèle de responsabilité partagée d'AWS et mettre en correspondance les responsabilités d'AWS et celles du client en fonction de chaque service AWS qui sera utilisé. Les clients peuvent également utiliser AWS Artifact pour accéder aux rapports d'audit d'AWS et évaluer les responsabilités en matière de contrôle.

Les clients qui ont d'autres questions sur la façon dont les services AWS peuvent répondre à leurs besoins en matière de sécurité et de conformité, ou qui souhaitent obtenir plus d'informations, peuvent contacter leur représentant.

Les institutions financières au Canada qui ont recours à AWS doivent également tenir compte des exigences applicables en matière de protection de la vie privée, notamment la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), une loi fédérale canadienne qui régit la collecte, l'utilisation et la divulgation d'informations personnelles dans le cadre d'activités commerciales dans toutes les provinces canadiennes.

Certaines provinces canadiennes peuvent avoir adopté une législation sur la protection de la vie privée essentiellement similaire à la LPRPDE. Pour savoir à quelles lois ils sont assujettis en matière de confidentialité des données, les clients doivent s'adresser à leurs propres conseillers juridiques. Une liste actualisée des règles de confidentialité est disponible dans le Centre de confidentialité des données.

Le livre blanc AWS intitulé Utilisation d'AWS afin de répondre aux considérations de confidentialité et de protection des données communes fournit des informations utiles aux clients qui utilisent les services du Nuage AWS pour stocker ou traiter des données personnelles.