Conformité DORA et MiCA : pourquoi la forme mentale des salariés est un risque opérationnel

2026-10-0909:00Morgane Oléron

Les institutions financières et les prestataires de services sur crypto-actifs, ou CASP (Crypto-Asset Service Provider), qui opèrent dans l’Union européenne sont soumis à de nombreuses exigences opérationnelles et de gouvernance. Le règlement sur la résilience opérationnelle numérique DORA (Digital Operational Resilience Act) et le règlement sur les marchés de crypto-actifs MiCA (Markets in Crypto-Assets Regulation) dépassent l’audit financier classique en fixant des attentes concernant le risque technologique, la réponse aux incidents, la gouvernance, l’intégrité des marchés et la continuité.

Les directions qui se préparent au contrôle réglementaire investissent massivement dans la cybersécurité, les systèmes de sauvegarde et la surveillance automatisée. Pourtant, la résilience dépend aussi des personnes qui interprètent les alertes, prennent des décisions et font remonter les incidents.

Lorsque les équipes de conformité et d’exploitation travaillent sous une pression durable et non résolue, la fatigue peut réduire l’attention et ralentir les décisions. Un spécialiste épuisé peut mal interpréter une alerte de lutte contre le blanchiment, de connaissance du client ou liée à MiCA, tandis qu’un opérateur des technologies de l’information et de la communication peut manquer une échéance de déclaration DORA. Le stress n’est pas en soi une infraction, mais il peut contribuer à des défaillances de contrôle aux conséquences opérationnelles et prudentielles graves.

Le cadre réglementaire : les fonctions sous forte pression comme vulnérabilités opérationnelles

Une charge élevée et une récupération insuffisante peuvent fragiliser deux domaines essentiels : la gestion des incidents informatiques et les opérations sur crypto-actifs.

1. DORA : la résilience opérationnelle numérique

DORA exige des entités financières concernées qu’elles disposent d’un dispositif de gestion des risques informatiques, détectent et classent les incidents, déclarent les incidents majeurs et testent leurs plans de continuité et de reprise. Les premiers délais peuvent être courts : la notification est généralement requise dans les quatre heures suivant la classification d’un incident comme majeur, et au plus tard 24 heures après sa détection.

Articles associés

La campagne de l\u2019UE “Ensemble pour la santé mentale au travail” : pourquoi la santé mentale est désormais une responsabilité d\u2019entreprise

Qui a peur du grand méchant bot ? Transformer l\u2019anxiété liée à l\u2019IA en pouvoir d\u2019agir

Gestion des risques psychosociaux : comment les plateformes pilotées par les données aident les RH à les atténuer

Les marchés de crypto-actifs fonctionnent en continu et peuvent être très volatils. Les prestataires et les personnes qui organisent ou exécutent professionnellement des transactions peuvent donc subir une forte pression temporelle. La fatigue accroît le risque d’erreurs d’exécution, de schémas suspects manqués ou d’escalades tardives. L’obligation juridique précise dépend du rôle et de l’activité de l’organisation.

Comment le stress dans le trading et la conformité peut contribuer à une défaillance du contrôle

1. Fatigue face aux alertes dans les opérations de conformité

Les équipes de conformité peuvent examiner de grands volumes d’alertes de transactions, de contrôles de connaissance du client ou KYC (Know Your Customer) et de notifications de risque. Cette répétition crée une fatigue face aux alertes, ce qui rend les signaux importants plus difficiles à distinguer du bruit. Sous la pression d’un arriéré, une personne peut approuver une transaction à haut risque ou manquer un schéma nécessitant une enquête.

Les obligations KYC et de lutte contre le blanchiment ou AML (Anti-Money Laundering) proviennent principalement de la législation antiblanchiment plutôt que de MiCA seul. Dans la pratique, les contrôles AML/KYC, MiCA et les autres dispositifs de surveillance fonctionnent souvent en parallèle, de sorte que la charge s’accumule entre les cadres.

2. Erreurs d’exécution sous forte pression

Pendant les périodes de forte volatilité, les traders et spécialistes des risques traitent rapidement de grandes quantités d’informations. Une fatigue prolongée peut altérer l’attention, le jugement et la régulation émotionnelle, augmentant le risque d’erreurs évitables ou d’escalades tardives. Pour les prestataires de services sur crypto-actifs, ces erreurs peuvent affaiblir les contrôles internes, la surveillance des abus de marché ou les dispositifs de continuité.

3. Dépendance aux personnes clés et turnover

Les équipes de conformité, de trading et d’informatique dépendent souvent de personnes possédant des connaissances spécialisées de l’organisation. Si un responsable épuisé ou un opérateur expérimenté part pendant un audit ou un incident, remplacer ces connaissances peut prendre des mois. Les salariés restants absorbent le travail, ce qui accroît encore la pression et la vulnérabilité opérationnelle.

Intégrer la forme mentale à la stratégie de risque opérationnel

Les organisations réglementées ne devraient pas considérer le bien-être du personnel comme un simple avantage. DORA et MiCA n’imposent pas de programme de santé mentale, mais les responsables des risques peuvent raisonnablement traiter la surcharge cognitive et la fatigue comme des facteurs potentiels d’erreur humaine.

Plutôt que de s’appuyer uniquement sur des programmes de conseil généralistes et réactifs, les organisations peuvent proposer un soutien confidentiel adapté aux fonctions de conformité, de trading et d’informatique réparties en Europe. La réussite doit être évaluée par l’engagement, les indicateurs d’erreur humaine, les absences, le risque de burnout et le turnover — pas seulement par les inscriptions.

Mesures pratiques pour les responsables des risques et des ressources humaines

• Cartographier les facteurs de stress lors de l’évaluation des dépendances opérationnelles. Tenez compte des spécialistes de la conformité, des traders et des responsables d’incidents informatiques lorsque vous identifiez les dépendances humaines critiques et les risques liés à la charge.
• Proposer un soutien en santé mentale facile d’accès. Donnez aux salariés un accès rapide à des professionnels qualifiés, sans processus interne complexe.
• Offrir un soutien multilingue dans les implantations européennes. Une aide dans la langue préférée du salarié peut être plus accessible et plus facile à utiliser.
• Réaliser des évaluations des risques psychosociaux. Travaillez avec un partenaire de confiance pour identifier les risques et transformer les résultats en actions. Siffi s’apprête à lancer un outil d’évaluation des risques psychosociaux conçu pour aider les organisations à remplir leurs responsabilités et à proposer un soutien concret. Restez informé.