4^e réunion du groupe de travail sur la responsabilité – Le 14 septembre 2022

Le présent guide de discussion est offert pour aider les membres du groupe de travail à se préparer à la réunion.

Pour toute question ou commentaire, veuillez écrire à obbo@fin.gc.ca.

Sur cette page :

• Guide de discussion
• Résultats

Guide de discussion

Reddition de comptes publique

La transparence représente une caractéristique importante d’un système bancaire ouvert. Les organisations participantes peuvent inspirer confiance dans le système en communiquant certains renseignements au public ou aux organismes de réglementation. Le type d’information et la manière dont elle est rapportée varient en fonction de l’objectif du rapport.

Les participants au système bancaire ouvert sont déjà soumis à diverses exigences en matière de déclaration. Aux fins de la présente discussion, ces exigences de déclaration sont appelées signalement des incidents et rapport proactif. Le signalement des incidents fait référence au moment où un événement ou une circonstance déclenchent un rapport (généralement destiné à un organisme de réglementation). Les rapports proactifs sont des documents publiés sur une base périodique.

Signalement des incidents

L’uniformisation des exigences de signalement des incidents crée la confiance dans la résilience du système bancaire ouvert. Il existe une variété d’exigences en matière de signalement des incidents qui pourraient être adoptées ou harmonisées avec le cadre du système bancaire ouvert.

Il existe des exigences de déclaration pour les entreprises qui ont subi une violation de la sécurité liée aux données financières sensibles des consommateurs. Les entreprises soumises à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) sont tenues de signaler au commissaire à la protection de la vie privée du Canada toute violation des mesures de sécurité touchant des renseignements personnels qui présente un risque réel de préjudice important pour les personnes, ainsi que d’informer la personne concernée de ces violations^{Note de bas de page 1}.

De plus, les institutions financières sous réglementation fédérale sont tenues d’aviser le Bureau du surintendant des institutions financières lorsque des incidents technologiques et cybernétiques liés à leurs activités se produisent. L’obligation de signaler les incidents dépend de la gravité de l’incident. Les banques sont également tenues de signaler les incidents qui ne proviennent pas de la banque, mais qui auraient une incidence sur la sécurité des actifs bancaires, ou sur la sécurité ou les données des clients bancaires^{Note de bas de page 2}.

En outre, les banques sous réglementation fédérale et les organismes externes de traitement des plaintes sont tenus de faire rapport sur les plaintes des consommateurs et leurs résultats, selon le cas. Le Comité consultatif sur le système bancaire ouvert a recommandé que les participants au système bancaire ouvert divulguent les plaintes conformément aux exigences du Règlement sur le régime de protection des consommateurs en matière financière^{Note de bas de page 3}. Les organismes externes de traitement des plaintes sont également tenus, dans certains cas, de rendre compte au public des plaintes qu’ils reçoivent. Notez que les processus de traitement des plaintes ont été abordés lors de la 2e réunion du groupe de travail sur la responsabilité, mais cette discussion ne s’est pas étendue au signalement des plaintes.

Discussion

1. Existe-t-il des catégories d’incidents qui devraient être signalés dans le cadre du système bancaire ouvert, et qui ne sont pas déjà signalés ailleurs? Comment ces incidents devraient-ils être signalés?
2. Comment un système bancaire ouvert devrait-il aborder le signalement des plaintes des consommateurs?

Rapports proactifs

L’objectif principal du système bancaire ouvert du Canada, défini par le Comité consultatif sur le système bancaire ouvert, vise à concrétiser le droit des consommateurs à la portabilité des données et à permettre l’évolution vers une communication sécurisée et efficace des données autorisées par les consommateurs. Les rapports proactifs peuvent démontrer le bon fonctionnement du système.

Une approche adoptée au Royaume-Uni a consisté à rendre compte périodiquement de la performance des appels de l’interface de programmation d’application (API). Ces rapports sont publiés mensuellement sur le site Web de l’entité de mise en œuvre du système bancaire ouvert. Ils informent les consommateurs sur la robustesse et l’efficacité des plateformes bancaires ouvertes proposées par les fournisseurs de données. Les indicateurs clés incluent le temps de réponse moyen aux appels, le nombre d’appels échoués, rejetés et réussis, et la disponibilité moyenne de l’API. Ces données sont présentées par catégories et par marques (c’est-à-dire par fournisseurs de données)^{Note de bas de page 4}.

Discussion

3. Quelles exigences de déclaration, le cas échéant, devraient être mises en œuvre concernant la performance de l’API?
4. Existe-t-il d’autres domaines du système bancaire ouvert auxquels les rapports proactifs devraient s’appliquer? Dans l’affirmative, quels devraient être le contenu, le destinataire et le calendrier de ces rapports?

Résultats

Signalement des incidents

Discussion 1

Existe-t-il des catégories d’incidents qui devraient être signalés dans le cadre du système bancaire ouvert, et qui ne sont pas déjà signalés ailleurs? Comment ces incidents devraient-ils être signalés?

• De l’avis général, les catégories fournies à titre d’exemple dans le guide de discussion de la réunion étaient complètes.
• Les participants ont toutefois souligné que les obligations de déclaration fondées sur les exigences existantes ne s’appliqueraient pas à tous les participants et que le système devrait garantir une application uniforme.

Discussion 2

Comment un système bancaire ouvert devrait-il aborder le signalement des plaintes des consommateurs?

• Il y avait consensus sur le fait que la divulgation des plaintes conformément au régime de protection des consommateurs en matière financière était appropriée.
• Les participants ont de nouveau évoqué la question de l’assurance de l’application uniforme du régime.

Rapports proactifs

Discussion 3

Quelles exigences de déclaration, le cas échéant, devraient être mises en œuvre concernant la performance de l’API?

• Les participants ont généralement convenu que les paramètres de déclaration saisis par les systèmes britannique et australien étaient suffisants.

Discussion 4

Existe-t-il d’autres domaines du système bancaire ouvert auxquels les rapports proactifs devraient s’appliquer? Dans l’affirmative, quels devraient être le contenu, le destinataire et le calendrier de ces rapports?

• Les participants ont proposé une variété de domaines, y compris la santé et l’efficacité globales de l’écosystème, le nombre d’utilisateurs, le nombre de plaintes et le nombre de parties dont l’accréditation a été révoquée.

Participants au groupe de travail sur l’accréditation