Le 8 juin 2026, l’Autorité ontarienne de réglementation des services financiers (ARSF) a publié sa Ligne directrice sur les risques opérationnels et la résilience pour les compagnies d’assurance constituées en Ontario et les bourses d’assurance réciproque (PC0050APP) (dans leur ensemble, les assureurs de l’Ontario).
La ligne directrice, qui relève du Cadre de surveillance axée sur le risque (CSAR-I) de l’ARSF, témoigne d’une attention accrue des organismes de surveillance à l’égard des cybermenaces, des vulnérabilités liées aux données, des dépendances envers des tiers et de l’exposition aux risques climatiques.
La ligne directrice n’est pas contraignante, mais l’ARSF a précisé que, lorsque viendrait le moment de choisir une approche de supervision, elle pourrait tenir compte du fait qu’un assureur a adopté ses principes. Les assureurs ontariens auraient donc intérêt à considérer cette ligne directrice comme une indication forte des attentes réglementaires, et y voir une occasion de rapidement relever les lacunes.
Ce que les assureurs de l’Ontario devraient savoir
Les assureurs de l’Ontario devraient envisager une évaluation structurée des lacunes au regard des quatre principes de la ligne directrice PC0050APP, en prenant soin de :
- Revoir les structures de gouvernance du conseil d’administration et de la haute direction, y compris la documentation sur la propension au risque et les dossiers d’approbation relatifs au cadre de gestion des risques opérationnels (CGRO);
- Mener une vérification des contrôles de cybersécurité et de technologies de l’information au regard de la ligne directrice GR0016INT, puis confirmer que les procédures de signalement des incidents correspondent aux seuils de gravité de l’ARSF;
- Revoir les obligations de signalement, les droits de vérification et l’intégration du plan de continuation des activités ou du plan de reprise après sinistre dans les contrats avec les tiers;
- S’assurer du caractère adéquat du plan de continuation des activités et du plan de reprise après sinistre (y compris par des simulations de crise précises); et
- Commencer à intégrer les facteurs environnementaux, sociaux et de gouvernance, ainsi que les risques climatiques dans les stratégies organisationnelles en prévision d’autres lignes directrices anticipées de l’ARSF.
Contexte
L’ARSF supervise à la fois les assureurs constitués sous le régime ontarien et les bourses d’assurance réciproque titulaires d’un permis octroyé en vertu de la Loi sur les assurances de l’Ontario. La ligne directrice PC0050APP s’ajoute à la ligne directrice sur la gouvernance d’entreprise (PC0051INT) et à la ligne directrice Gestion des risques liés aux technologies de l’information de l’ARSF (GR0016INT). Toutefois, bien que la ligne directrice GR0016INT s’applique à toutes les entités assujetties à l’ARSF, y compris les assureurs de l’Ontario constitués sous le régime fédéral, la ligne directrice PC0050APP ne s’applique qu’aux assureurs constitués sous le régime de l’Ontario.
Les assureurs sous réglementation fédérale devraient aussi retenir que les lignes directrices de l’ARSF concordent dans une large mesure avec celles du Bureau du surintendant des institutions financières (BSIF), tout en demeurant des exigences provinciales distinctes. Les institutions financières sous réglementation fédérale doivent toujours se conformer aux attentes prévues par la Ligne directrice B-13 du BSIF – Gestion du risque lié aux technologies et du cyberrisque, ce qui confirme que la cyberrésilience et la résilience opérationnelle sont devenues des priorités réglementaires à l’échelle du Canada. En somme, l’ARSF et le BSIF ont resserré leur attention sur ces enjeux, rehaussant les attentes en matière de surveillance pour les assureurs qui exercent des activités en Ontario.
Les quatre principes de la ligne directrice PC0050APP
La ligne directrice PC0050APP repose sur quatre principes qui décrivent les résultats souhaités par l’ARSF dans le cadre de sa surveillance :
1) La gouvernance
La responsabilité ultime de la surveillance des risques opérationnels incombe au conseil d’administration et à la haute direction des assureurs. L’ARSF s’attend à ce que les assureurs de l’Ontario suivent un cadre de gestion du risque opérationnel (CGRO), se dotent d’une structure à trois lignes de défense et qu’ils définissent précisément leur propension au risque, leur tolérance et leurs limites. Le conseil d’administration doit périodiquement revoir et approuver les plans de continuité des activités (PCA) et les plans de reprise après sinistre (PRS).
2) L’identification et l’évaluation du risque opérationnel
Les assureurs de l’Ontario sont tenus de relever et d’évaluer les risques opérationnels inhérents à l’ensemble de leurs produits, activités, personnes, processus et systèmes, ainsi qu’à leur environnement externe. Les technologies de l’information sont particulièrement visées par cette démarche.
3) La gestion du risque
Un CGRO efficace devrait réduire à la fois la fréquence et les répercussions des événements de risque opérationnel. Les cadres de gestion et les politiques qui les soutiennent doivent tenir compte de la taille, de la complexité et du profil de risque de l’assureur ontarien, et faire partie de la gestion des risques d’entreprise.
4) La résilience
Les assureurs de l’Ontario doivent montrer qu’ils sont prêts à gérer des situations de crise. Il leur faut mettre à l’épreuve les PCA et les PRS par rapport à des situations plausibles, mais graves, les maintenir à jour et les remettre à l’ARSF à sa demande durant la supervision. La ligne directrice met aussi l’accent sur les leçons à tirer des échecs pour stimuler l’amélioration continue.
Quatre sous-catégories de risque sous la loupe
L’ARSF relève quatre sous-catégories de risque dans sa définition du risque opérationnel, chacune ayant ses propres implications :
1) Le risque lié au tiers
Comme les assureurs font de plus en plus appel à des fournisseurs de services infonuagiques et à d’autres prestataires externes, l’ARSF rappelle que l’assureur demeure pleinement responsable de tous les risques, malgré les ententes d’impartition en place. Les assureurs de l’Ontario devraient se doter d’un cadre de gestion du risque lié aux tiers, appliquer en tout temps des mesures de diligence raisonnable et s’assurer que leurs contrats prévoient des clauses adéquates de signalement, d’audit et de rendement. Le risque de concentration (une trop grande dépendance envers un fournisseur principal) exige une vigilance accrue.
2) Le cyberrisque
L’ARSF examinera les contrôles de TI au regard de la gestion des accès, de la sécurité réseau, de la classification et la mise au rebut des actifs, de la surveillance des incidents et de la sensibilisation à la cybersécurité. Les assureurs sont tenus d’informer rapidement l’ARSF de tout incident de TI majeur, comme l’exige la ligne directrice GR0016INT, qui prévoit un délai de déclaration de 72 heures pour les assureurs constitués en Ontario et les assureurs réciproques. Les PCA et les PRS doivent comporter des mesures précises en cas d’interruptions des services technologiques.
3) Le risque lié aux données
Une gouvernance déficiente des données représente un risque opérationnel à part entière, qui touche l’intégrité et la disponibilité des données, ainsi que la protection des renseignements confidentiels des consommateurs. L’ARSF vérifiera si les responsabilités et les cadres de gouvernance sont clairement définis et si les capacités de gestion des données résistent aux situations de tension.
4) Le risque climatique (physique et transition)
Les événements climatiques physiques peuvent nuire aux activités essentielles et augmenter les pertes de souscription à cause d’un nombre accru de réclamations pour des dommages matériels. L’ARSF tient déjà compte des initiatives climatiques, environnementales, sociales et de gouvernance dans l’évaluation de la résilience selon le CSAR-I. Elle a aussi laissé entendre qu’elle pourrait publier d’autres orientations axées sur les risques climatiques.
Le portrait légal et réglementaire complet
La ligne directrice PC0050APP de l’ARSF survient en plein cœur d’une grande vague de réglementation sur la résilience opérationnelle et la cybersécurité, aux deux paliers de gouvernement.
À l’échelon fédéral, le projet de loi C-8 a obtenu la sanction royale le 15 juin 2026, ce qui a mené à l’adoption définitive de la Loi sur la protection des cybersystèmes essentiels (LPCE) et à la création du premier cadre obligatoire de cybersécurité au Canada pour les exploitants désignés dans des secteurs comme les télécommunications, les banques et les systèmes de compensation. Les dispositions de la Loi entreront progressivement en vigueur aux dates qui seront déterminées par décret du gouverneur en conseil. Pour en savoir plus, lisez l’article détaillé de BLG, intitulé Loi sur la protection des cybersystèmes essentiels : le projet de loi C-8 est adopté.
Même si la version actuelle de la LPCE ne vise pas les assureurs de compétence fédérale, les assureurs qui dépendent de fournisseurs considérés comme des exploitants désignés (fournisseurs infonuagiques importants liés à des banques, etc.) pourraient avoir à respecter des exigences contractuelles de cybersécurité qui découlent des obligations de ces fournisseurs au titre de la LPCE.
En Ontario, la Loi de 2024 visant à renforcer la sécurité et la confiance en matière de numérique, ainsi que ses règlements connexes, le Règlement de l’Ontario 51/26 : Cybersécurité et le Règlement de l’Ontario 52/26 : Technologie numérique touchant les particuliers âgés de moins de 18 ans en vigueur depuis le 1er juillet 2026, exigent des organismes prescrits du secteur public en général qu’ils mettent en place des programmes de cybersécurité, réalisent des évaluations de maturité tous les deux ans et déclarent les incidents critiques dans un délai de 72 heures.
Le projet de loi 97, Loi de 2026 sur le plan pour protéger l’Ontario (mesures budgétaires) poursuit la modernisation du régime ontarien d’accès à l’information et de protection des renseignements personnels en appliquant aux municipalités les exigences d’évaluation des facteurs relatifs à la vie privée, de déclaration des atteintes et de protection en cybersécurité.
Même si les assureurs privés ne sont pas assujettis à la Loi de 2024 visant à renforcer la sécurité et la confiance en matière de numérique, à ses règlements ni au projet de loi 97, ceux qui travaillent avec des organismes publics pourraient devoir répondre à des exigences accrues en cybersécurité, car ces organismes resserrent leur encadrement des fournisseurs.
Points à retenir pour les assureurs en Ontario
Avec la Ligne directrice B-13 du BSIF (Gestion du risque lié aux technologies et du cyberrisque), la Ligne directrice sur la gestion du risque lié aux tiers (B-10) et la ligne directrice GR0016INT de l’ARSF (Gestion des risques liés aux technologies de l’information), la ligne directrice PC0050APP confirme une attente réglementaire uniforme : les conseils d’administration doivent rendre des comptes quant au risque opérationnel, les cadres de gestion des risques doivent être documentés et adaptés au contexte, la responsabilité liée aux tiers demeure celle de la société et la résilience doit être démontrée grâce à des tests (pas seulement déclarée). Pour les assureurs constitués en Ontario, la ligne directrice PC0050APP fournit le cadre par lequel l’ARSF évaluera les risques opérationnels et la résilience durant les examens de surveillance.
Voici les principaux points à retenir :
1) Il n’est pas possible de déléguer l’obligation de rendre compte de la gouvernance.
- Le conseil d’administration assume la responsabilité ultime.
- Il faut pouvoir démontrer clairement que les énoncés de propension au risque, l’approbation du CGRO et la surveillance des PCA/PRS relèvent du conseil d’administration.
- Les assureurs de l’Ontario devraient évaluer leurs structures de gouvernance au regard du principe 1 et documenter toute lacune.
2) L’ARSF examinera de près les contrôles en cybersécurité et en technologies de l’information.
- Elle passera en revue tout le processus de gestion des risques informatiques, y compris les contrôles d’accès, la sécurité du réseau, les déclarations d’incidents et la formation des employés.
- Les assureurs devraient mesurer les résultats de leurs programmes par rapport à la ligne directrice GR0016INT. Le délai de 72 heures pour signaler un incident important en Ontario représente une exigence de conformité clé qui devrait figurer en toutes lettres dans les procédures internes.
3) L’impartition ne transfère pas le risque.
- L’assureur demeure responsable des risques associés aux tiers.
- Il faut réviser les ententes conclues avec les fournisseurs, notamment les fournisseurs de services infonuagiques, afin de confirmer les exigences de signalement en cas d’incident, les droits de vérification, les mesures liées au risque de concentration et l’intégration aux PCA et aux PRS.
4) Il faut mettre à l’épreuve les PCA et les PRS, et les produire sur demande.
- Durant la surveillance, il peut arriver que l’ARSF exige des assureurs qu’ils lui remettent les PCA, les PRS, ainsi que les résultats des tests.
- Il faut garder les plans à jour, les tester au moyen de simulations de crises et les produire rapidement.
5) Les enjeux climatiques sont de plus en plus au cœur des priorités de surveillance et méritent des actions dès maintenant, bien avant la prochaine ligne directrice attendue en 2031.
- L’ARSF a laissé entendre qu’elle publierait de nouvelles lignes directrices sur le climat et les facteurs environnementaux, sociaux et de gouvernance, et que celles-ci intégreraient les initiatives sur ces facteurs à son évaluation de la résilience.
- Les assureurs de l’Ontario qui n’ont pas encore intégré le risque climatique à leur stratégie organisationnelle devraient amorcer cette démarche sans tarder.
