Votre régulateur ne vous demande pas où sont vos données. Il vous demande de le savoir et de le prouver.

doit aviser l'Autorité de tout incident de sécurité de l'information ayant un risque d'occasionner des répercussions négatives qui a été signalé à ses dirigeants ou, selon le cas, à ses gestionnaires au plus tard 24 heures suivant le moment auquel il a été signalé.

Ce que ça veut dire

Vingt-quatre heures, et le compte à rebours part du moment où l'incident est signalé à la direction — pas de sa survenance. Le seuil est bas : un simple risque de répercussions négatives suffit, sans préjudice avéré. L'article 3 ajoute que votre politique doit couvrir les incidents survenus chez un tiers à qui vous avez confié une activité.

Ce que nous y répondons

Le contrat nous oblige à aviser sans délai votre responsable de la protection des renseignements personnels, avec la nature de l'incident, les personnes visées, la période et les mesures prises (art. 14.9). Nous ne nous engageons pas encore sur un nombre d'heures, et notre plan de réponse n'a jamais été exercé. Pour une institution soumise à l'article 5, c'est une clause à négocier explicitement au bon de commande — un engagement « dans un délai raisonnable » vous rendrait structurellement incapable de tenir vos 24 heures.

droit dur·En vigueur le 23 avril 2025·Source officielle

l'institution financière devrait maintenir, dans sa liste centralisée d'ententes d'impartition importantes, toute information utile à la gestion des risques de ses données (nature, sensibilité, emplacement(s) du traitement, de l'emmagasinage et de la circulation des données, etc.)

Ce que ça veut dire

C’est la position explicite de l’AMF sur l’infonuagique, et elle est écrite en attentes, pas en interdictions : le passage emploie « devrait » de bout en bout. Ce que l’AMF attend n’est pas que vous hébergiez ici, mais que vous SACHIEZ et DOCUMENTIEZ où les données sont traitées, stockées et circulent, que vous les chiffriez en transit, en mémoire et au repos, et que le contrat prévoie un droit d’audit — « ainsi que celui des autres autorités compétentes » — et l’accès aux locaux. La même liste attend aussi quatre choses que l’on oublie : un plan de sortie, l’atténuation de l’impartition en chaîne, un suivi du risque de concentration et l’identification du risque de « souveraineté » des données. Et elle renvoie deux fois à la Ligne directrice sur la gestion des risques liés à l’impartition, citée plus bas.

Ce que nous y répondons

Sur la documentation, c’est exactement ce que cette page fournit : la région d’hébergement nommée — Azure Canada Central (Toronto) par défaut, une région québécoise uniquement en hébergement privé —, le trajet d’une requête décrit étape par étape, la distinction entre ce qui reste au Canada et ce qui n’y reste pas, et les politiques publiées de chaque fournisseur de modèle. Chiffrement en transit et au repos, accès par utilisateur et par groupe, journal d’audit. Le droit d’audit existe au contrat (art. 14.10), sur préavis de quinze jours ouvrables, une fois par douze mois — mais il est rédigé pour vous seul et ne nomme pas vos régulateurs. Sur le reste, non : pas de plan de sortie documenté au-delà de l’export intégral, pas de préavis contractuel avant l’ajout d’un sous-traitant, et ni le risque de concentration ni celui de souveraineté ne sont réglés par nous — l’inférence s’exécute chez des fournisseurs étrangers, plusieurs aux États-Unis. Nous n’avons non plus aucune certification SOC 2 ou ISO à verser à votre dossier.

attente du régulateur·Février 2020 — en vigueur·Source officielle

(vii) par avis écrit tout incident de cybersécurité, (a) dans les trois jours civils suivant la découverte de l'incident de cybersécurité

Ce que ça veut dire

Le seuil compte autant que le délai : l’article 3703(1) ne vise que l’incident qui cause ou risque de causer un grave préjudice à une personne, qui a d’importantes répercussions sur une partie des activités normales, qui déclenche le plan de continuité ou de reprise, ou qui oblige à aviser un organisme gouvernemental ou une autorité. Trois jours civils pour le signalement initial, puis un rapport complet dans les 30 jours civils — les deux délais courant de la DÉCOUVERTE de l’incident, et le second « sauf accord contraire de l’Organisation ». Portée : l’article 3703 appartient aux Règles CPPC, qui visent les courtiers en PLACEMENT ; les Règles visant les courtiers en épargne collective ne comportent aucune obligation de signalement de cyberincident. Enfin, la note d’orientation de CIRO précise que le « système informatique » du courtier inclut les éléments fournis par des fournisseurs de services externes : un incident chez votre fournisseur est un incident déclarable par vous.

Ce que nous y répondons

Même réponse et même limite qu’au-dessus : avis sans délai à votre responsable désigné, avec un contenu énuméré (art. 14.9), mais pas d’engagement chiffré en heures. Pour le rapport à trente jours, vous aurez besoin de la cause racine et de l’étendue de l’incident — ce sont des éléments que nous nous engageons contractuellement à fournir en assistance, facturable au-delà de nos obligations normales sauf si l’incident nous est imputable. Comptez les deux délais depuis votre découverte, pas depuis notre avis : c’est ce qui rend le délai contractuel de notification déterminant pour vous.

droit dur·Version du 8 janvier 2026 ; exigence en vigueur depuis le 14 novembre 2019·Source officielle

La société inscrite garde les dossiers prévus par la législation en valeurs mobilières : a) pendant 7 ans à compter de la date de leur établissement; b) en lieu sûr et sous une forme durable;

Ce que ça veut dire

Sept ans, en lieu sûr et sous forme durable, fournissables à l’autorité dans un délai raisonnable et dans un format qu’elle est en mesure de lire. Deux précisions que l’on saute trop vite. D’abord, « lieu sûr » n’a pas de contenu géographique — ni les ACVM ni CIRO n’exigent que ces dossiers soient au Canada — mais l’instruction complémentaire lui donne bien un contenu : empêcher tout accès non autorisé, et conclure une convention de confidentialité lorsqu’un tiers peut accéder aux documents, ce qui est précisément le cas d’une plateforme hébergée. Ensuite, CIRO a sa propre règle, distincte de celle-ci : l’article 3803 des Règles CPPC impose au courtier en placement de conserver « dans un lieu sûr » une copie de la documentation exigée par l’Organisation, « sous forme accessible et durable », pendant au moins sept ans à compter de sa création. Le texte servi par le lien est la refonte de la CSFSC du Nouveau-Brunswick ; au Québec, l’instrument applicable est le Règlement 31-103, RLRQ c. V-1.1, r. 10, au texte identique.

Ce que nous y répondons

Aucune purge configurable par vos soins ne viendra rompre vos sept ans, et conversations, documents et pièces jointes s’exportent dans un format lisible. Mais trois suppressions automatiques s’appliquent quand même, et si l’une d’elles porte une pièce du dossier réglementaire, elle la détruit sans égard à vos sept ans : il faut l’exporter avant l’échéance. Trois minuteries codées en dur touchent directement un dossier — transcriptions à 30 jours, fichiers produits par un outil à 7 jours, pièces jointes jamais envoyées à 48 heures — et elles ne se désactivent pas ; il n’existe aucune rétention configurable, ni certificat de destruction. Si l’une d’elles porte une pièce du dossier réglementaire — une transcription d’appel client, par exemple — elle la détruit sans égard à vos sept ans. Côté « lieu sûr » : instance dédiée, accès par utilisateur et par groupe, journal d’audit, et une clause de confidentialité au contrat (art. 14), ce qui répond à la convention de confidentialité attendue. Le dossier réglementaire qui doit vivre sept ans a sa place dans votre archivage ; la plateforme est le lieu où le travail se fait. Ce sont les minuteries qui touchent un dossier ; d'autres horloges existent ailleurs dans le produit, et la page Confidentialité et conformité en publie l'inventaire complet.

droit dur·Refonte au 1er janvier 2026·Source officielle

La société inscrite a la responsabilité de toutes les fonctions externalisées. Elle devrait conclure un contrat écrit ayant force exécutoire et énonçant les attentes des parties à la convention d'externalisation.

Ce que ça veut dire

La responsabilité réglementaire ne se délègue pas : elle reste celle de la société inscrite, en toutes lettres. Le reste de la rubrique est rédigé en attentes — la société « devrait » conclure un contrat écrit exécutoire, effectuer un contrôle diligent documenté avant de contracter, vérifier la confidentialité et la reprise après sinistre, examiner en continu la qualité des services. La rubrique se termine par le paragraphe le plus exigeant : l’autorité, la société inscrite et ses auditeurs devraient bénéficier du même accès au produit du travail du fournisseur que si les activités étaient exercées à l’interne, et une clause en ce sens devrait figurer au contrat. À cela s’ajoute la note d’orientation GN-2300-21-003 de CIRO (« Ententes d’externalisation », en vigueur le 31 décembre 2021) : ne jamais conclure une entente qui entrave la surveillance efficace du régulateur ou permet une sous-traitance en cascade à votre insu, et aviser CIRO de toute nouvelle entente visant une activité essentielle, en vertu du paragraphe 2246(2) des Règles CPPC — du droit dur. La même note range la gestion et la maintenance des systèmes d’information du courtier parmi les activités essentielles.

Ce que nous y répondons

Contrat écrit et signé, avec droit de vérification (art. 14.10) — mais lisez la limite : il est annuel, sur préavis de quinze jours ouvrables, exerçable par vous seul, et nous pouvons le satisfaire par rapports et questionnaires. C’est moins que l’accès de l’AUTORITÉ au produit du travail que décrit le dernier paragraphe de la rubrique, et nous n’avons pas de SOC 2 ni d’ISO à offrir en substitution : la clause est à étendre au bon de commande. Notre liste de sous-traitants est publiée par rôle et les entités nommées sont fournies sous entente de confidentialité ; le préavis contractuel avant l’ajout d’un sous-traitant est daté sur notre feuille de route, il n’existe pas encore. Et si vous concluez que l’hébergement de vos systèmes d’information est une activité essentielle, l’avis à CIRO est le vôtre à donner, avant le changement.

attente du régulateur·Refonte au 1er janvier 2026·Source officielle

S'il est possible que des renseignements sur leurs clients soient saisis dans un système d'IA, il leur faudra prendre les mesures qui s'imposent pour en assurer la confidentialité.

Ce que ça veut dire

L'avis pose deux choses. D'abord, on peut externaliser du soutien mais jamais une activité qui exige l'inscription — la convenance, par exemple, reste la vôtre. Ensuite, la gouvernance doit couvrir « l'ensemble de la chaîne d'approvisionnement du système d'IA », y compris les tiers fournisseurs, les services infonuagiques et les sources de données.

Ce que nous y répondons

La chaîne est décrite en clair sur cette page : votre instance, notre couche d'acheminement, le fournisseur du modèle retenu. Les modèles utilisables se restreignent par groupe, par utilisateur nommé, ou se réservent aux administrateurs, avec un refus appliqué au moment de l'appel — étant entendu que ce refus lie les modèles que l'utilisateur choisit, et non les quelques appels que le serveur émet lui-même, dont l'extraction du texte d'un document versé dans une base de connaissances ou rapatrié d'un connecteur, et la détection Loi 25 ; le détail est sur la page Confidentialité et conformité. La plateforme rédige et propose ; elle ne rend pas d'avis de convenance, et le contrat interdit expressément de traiter une sortie comme une décision finale sans validation humaine.

attente du régulateur·5 décembre 2024 ; consultation close le 31 mars 2025, aucune suite publiée au 6 août 2026·Source officielle

Le cas échéant, les contrats doivent également préciser que les documents et données de l'IFF doivent être constamment séparés de ceux des autres clients, y compris durant leur transfert ou dans des conditions défavorables (p. ex., interruption de service).

Ce que ça veut dire

B-10 pose ici un test d’équivalence, pas de localisation : vos données doivent bénéficier de la même protection chez le tiers que chez vous, être constamment isolées de celles des autres clients — y compris en transit et en mode dégradé — et rester disponibles et facilement accessibles, sur demande, par l’IFF et par le BSIF. Mais l’exigence citée porte sur ce que LE CONTRAT doit préciser, pas sur ce que l’architecture permet. Et la règle de lieu, elle, existe bel et bien : le §2.3.2.2 renvoie au paragraphe 239(1) de la Loi sur les banques et à ses miroirs — voir l’entrée suivante, qui la traite pour elle-même.

Ce que nous y répondons

L’isolation existe dans l’architecture : chaque client reçoit une instance dédiée, avec sa propre base de données. Il n’existe pas de base applicative partagée entre clients, donc pas de mode dégradé où vos données côtoieraient celles d’un autre. Mais ce n’est pas ce que demande la citation. Notre contrat n’a aucune clause d’isolation constante : l’article 14 couvre la confidentialité, les finalités, les sous-traitants, l’avis d’incident sans délai, le droit d’audit annuel et le préavis en cas de divulgation contrainte — pas la séparation des documents et des données, y compris durant leur transfert. Pour une IFF, c’est là l’écart, et c’est le sens exact de B-10 : l’architecture rend l’engagement facile à tenir, il reste à l’écrire au contrat avant signature.

attente du régulateur·Publiée le 30 avril 2023 ; en vigueur le 1er mai 2024·Source officielle

L'IFF doit mettre en œuvre et maintenir de solides technologies cryptographiques pour protéger l'authenticité, la confidentialité et l'intégrité de ses actifs technologiques.

Ce que ça veut dire

Le §3.2.5 est celui qui compte pour l'IA : il exige des contrôles pour les données au repos, en transit ET en cours d'utilisation. C'est la reconnaissance réglementaire du troisième état décrit sur notre page d'accueil sécurité — celui qu'aucun chiffrement ne protège et qui relève du contrat.

Ce que nous y répondons

Au repos et en transit : chiffrement assuré par la plateforme d'hébergement, TLS 1.2 ou supérieur partout, coffre à clés avec contrôle par rôle. En cours d'utilisation : ce n'est pas un problème de cryptographie mais de contrat et de routage, et c'est traité en toutes lettres sur la page principale — y compris le fait que nous n'imposons pas encore techniquement un routage à rétention nulle sur chaque appel.

attente du régulateur·Publiée le 31 juillet 2022 ; en vigueur le 1er janvier 2024·Source officielle

Il importe de préciser que les attentes de la présente portent sur toute utilisation des SIA par l'institution, qu'elle concerne ou non le traitement des dossiers des clients.

Ce que ça veut dire

Elle n’est pas en vigueur — nous le disons parce que plusieurs fournisseurs la présentent déjà comme du droit applicable — et deux autres textes non plus : la Ligne directrice de l’AMF sur la gestion du risque lié aux tiers (mars 2026, prise d’effet le en 2027 — date que nous n'avons pas pu confirmer sur le site de l'AMF, qui refuse les agents non navigateurs), qui remplacera la ligne directrice sur l'impartition citée plus bas, et la Ligne directrice E-23 du BSIF sur la gestion du risque de modélisation, dont la version définitive a été publiée le 11 septembre 2025 et qui prend effet le 1er mai 2027. Ce qu’elles annoncent : recenser régulièrement tous les modèles et systèmes d’IA, mais ne consigner au répertoire centralisé que ceux dont l’institution juge le risque non négligeable ; une cote de risque ; une « étude des composantes du SIA fournies par une tierce partie (plateformes, modèles, données, etc.) » à la validation ; l’isolement en amont et en aval du système ; le marquage saillant du contenu généré ; et, au §8.3, informer le client qu’il communique avec un SIA, lui offrir l’accès en temps utile à une personne, et lui expliquer clairement une décision prise ou recommandée par un SIA. E-23 étend le risque de modèle aux modèles de tiers.

Ce que nous y répondons

Ce qui existe déjà et sert cette préparation : instance isolée, catalogue de modèles restreignable par groupe ou par utilisateur — sur ce que choisit un utilisateur, pas sur ce que retient le serveur, politiques des fournisseurs affichées, attribution et journal d’audit par utilisateur, export intégral. Ce qui manquera encore en 2027 si rien ne change : versionnage des invites et des modèles exposé au client, marquage systématique du contenu généré, mention automatique au client qu’il s’adresse à un système d’IA et parcours d’escalade vers une personne, outillage de détection de biais, et une documentation de validation prête à verser à votre répertoire. De tout cela, une seule chose figure aujourd’hui à notre feuille de route : le marquage du contenu généré. Les quatre autres — détection de biais, versionnage exposé au client, escalade vers une personne et documentation de validation — n’y sont ni livrées ni datées, et nous préférons l’écrire que de vous laisser suivre un renvoi vide. Rien de tout cela ne relève de vos politiques internes : ce sont des fonctionnalités produit.

attente du régulateur·Mars 2026 — prise d’effet le 1er mai 2027·Source officielle

Les livres sont conservés au siège de la banque ou en tout lieu au Canada convenant au conseil.

Ce que ça veut dire

Voilà la règle de localisation qui existe réellement dans ce secteur, et elle ne vise que les institutions à charte fédérale. Les mêmes mots figurent au paragraphe 262(1) de la Loi sur les sociétés d’assurances et au paragraphe 244(1) de la Loi sur les sociétés de fiducie et de prêt, et la ligne directrice B-10 du BSIF ajoute au §2.3.2.2 que si les documents sont électroniques, « des exemplaires complets doivent être conservés sur un serveur situé aux endroits prévus par les lois régissant les IFF ». Elle porte sur les livres visés à l’article 238, pas sur toute donnée de l’institution. Deux prolongements comptent pour une plateforme d’IA. Le paragraphe 245(1) vise le TRAITEMENT et non le seul stockage : s’il estime que traiter à l’étranger les renseignements se rapportant à la tenue des livres fait obstacle à ses fonctions, le surintendant ordonne à la banque de ne s’y livrer qu’au Canada — un appel d’inférence acheminé hors du pays est exactement cette activité. Et la dispense du paragraphe 239(3.1), pour la filiale d’une banque étrangère d’un pays visé par un traité de l’annexe IV, a un prix, énoncé au §2.3.2.2 de B-10 : fournir au BSIF « un accès immédiat, direct, complet et continu aux documents conservés à l’étranger ».

Ce que nous y répondons

Sur la conservation, notre configuration par défaut répond : instance dédiée hébergée sur Azure Canada Central (Toronto), une région québécoise uniquement en hébergement privé, chiffrement en transit et au repos, accès par utilisateur et par groupe, journal d’audit, export intégral à tout moment. Ce qui se trouve dans votre instance reste donc au Canada. Sur le traitement, non, et nous ne le maquillons pas : l’inférence s’exécute chez des fournisseurs de modèles étrangers, plusieurs aux États-Unis, et nous n’imposons pas encore techniquement un acheminement canadien pour chaque appel. Pour une institution à charte fédérale, la lecture honnête est celle-ci : l’hébergement satisfait l’article 239, l’inférence sort du Canada, et l’exposition à l’article 245(1) est à vous d’évaluer avant de nous confier des renseignements se rapportant à la tenue de vos livres. Le maître de ces livres a sa place dans votre archivage, pas dans la plateforme.

droit dur·Loi à jour au 17 juin 2026 ; dernière modification le 26 mars 2026·Source officielle

Une institution financière ou un agent d’évaluation du crédit doit aviser l’Autorité de l’évolution de la situation au plus tard 3 jours suivant l’avis qui lui a été donné en vertu de l’article 5 et au plus tard tous les 3 jours suivant l’avis précédent jusqu’à la transmission à l’Autorité d’un avis confirmant que l’incident est maîtrisé et que les activités ont repris leur cours normal.

Ce que ça veut dire

L’horloge de 24 heures de l’article 5 n’est donc pas une échéance unique, c’est le départ d’une cadence : mise à jour tous les 3 jours jusqu’à l’avis de maîtrise, puis rapport à l’Autorité dans les 30 jours suivant cet avis (art. 9 : source et type de l’incident, appréciation de la récurrence, moyens pris), puis un registre (art. 10) qui doit nommer, pour chaque incident, « les tiers concernés », les préjudices, les actions prises et prévues, conservé de manière sécurisée pendant au moins 5 ans (art. 11). Le défaut d’aviser dans les 24 heures et le défaut de suivi aux 3 jours sont tous deux passibles d’une sanction administrative pécuniaire (art. 12). Et ce ne sont pas les seules horloges du secteur. Une institution à charte fédérale doit aviser le BSIF « le plus rapidement possible, et au plus tard dans les 24 heures suivant l’incident » (préavis Signalement des incidents liés à la technologie et à la cybersécurité, 13 août 2021), dont les critères de signalement incluent expressément les « Répercussions sur un tiers ayant des conséquences pour l’IFF », puis faire le point périodiquement jusqu’à la maîtrise. Un courtier en placement a les 3 jours civils et les 30 jours civils de l’article 3703(2)(vii) des Règles CPPC, comptés depuis la DÉCOUVERTE ; un courtier en épargne collective, lui, n’a pas d’obligation de signalement de cyberincident.

Ce que nous y répondons

Le contrat nous oblige à aviser sans délai votre responsable de la protection des renseignements personnels, avec la nature de l’incident, les personnes visées, la période et les mesures prises (art. 14.9). Trois limites à connaître avant de signer. Nous ne nous engageons sur aucun nombre d’heures, ce qui rend vos 24 heures — AMF ou BSIF — structurellement dépendantes de notre bonne volonté. Nous ne nous engageons pas non plus à des mises à jour périodiques : l’article 8 vous demande d’alimenter l’Autorité tous les 3 jours avec des faits que, si l’incident survient chez nous, nous seuls détenons. Enfin, notre plan de réponse n’a jamais été exercé. Ce que nous pouvons fournir pour votre registre — source, type, tiers concernés, préjudices, actions prises — relève de l’assistance contractuelle, facturable au-delà de nos obligations normales sauf si l’incident nous est imputable, et ce registre doit vivre cinq ans dans vos systèmes : la plateforme n’offre ni rétention configurable ni certificat de destruction. Faites écrire au bon de commande un délai en heures et une cadence de mises à jour.

droit dur·En vigueur le 23 avril 2025 ; à jour au 1er avril 2026·Source officielle

De plus, dans le cas où le fournisseur de services recourt lui-même à l’impartition, l’institution financière devrait s’assurer que le contrat d’impartition identifie les responsabilités du fournisseur de services à cet égard.

Ce que ça veut dire

C’est le texte d’impartition de l’AMF applicable AUJOURD’HUI — celui auquel la ligne directrice sur les TIC renvoie deux fois — et il vise directement le point le plus faible d’une plateforme d’IA : la sous-traitance en chaîne. L’attente n’est pas que votre fournisseur cesse d’en avoir, c’est que le contrat identifie ses responsabilités à cet égard. Autour de ce principe, la ligne directrice attend un contrat de services écrit dont le niveau de détail suit l’importance de l’entente, l’inclusion des stratégies d’atténuation des risques impliquant le fournisseur, et une clause permettant de lui demander de l’information supplémentaire sur l’entente. Le Principe 5 ajoute le suivi : liste centralisée des ententes importantes tenue à jour, indicateurs de performance définis au contrat, évaluation périodique de la capacité financière et opérationnelle du fournisseur. Tout cela est rédigé en « devrait » : ce sont des attentes, pas du droit dur — mais l’AMF les vérifie en inspection.

Ce que nous y répondons

Notre liste de sous-traitants est publiée par rôle, et les entités nommées sont fournies sous entente de confidentialité ; le contrat (art. 14) encadre la confidentialité, les finalités et le recours à des sous-traitants. Deux manques, nommés sans détour : le contrat n’identifie pas nos responsabilités pour les défaillances de nos propres sous-traitants au-delà du régime général, et il ne prévoit aucun préavis avant l’ajout d’un sous-traitant — donc aucun droit de refus pour vous. Ce sont les deux clauses à faire écrire au bon de commande si cette entente entre dans votre liste centralisée. Nous n’avons par ailleurs ni SOC 2 ni certification ISO à verser à votre contrôle diligent : cette page, le contrat et vos propres questions en tiennent lieu.

attente du régulateur·Avril 2009 — en vigueur aujourd'hui ; sera remplacée par la Ligne directrice sur la gestion du risque lié aux tiers (mars 2026), dont la prise d'effet est annoncée pour 2027 — nous n'avons pas pu confirmer la date exacte à la source, le site de l'AMF refusant les agents non navigateurs·Source officielle

Le contrat doit donner à l’IFF et au BSIF le droit d’évaluer les pratiques de gestion du risque lié au service fourni. Plus précisément, l’IFF et le BSIF doivent être en mesure d’évaluer les risques découlant de l’entente ou de nommer des auditeurs indépendants pour évaluer les pratiques de gestion du risque lié au service fourni et les risques découlant de la relation au nom de l’IFF ou du BSIF. L’IFF et le BSIF doivent également être en mesure d’accéder aux rapports d’audit du service fourni à l’IFF.

Ce que ça veut dire

Le droit d’audit attendu n’est pas le vôtre : c’est le vôtre ET celui du BSIF, avec la faculté de nommer des auditeurs indépendants et d’accéder aux rapports d’audit du service. Une clause rédigée au seul bénéfice du client n’y répond pas. Le §2.3.2.2 pose l’exigence jumelle pour les documents : l’IFF qui n’est pas tenue d’en conserver des exemplaires au Canada doit fournir au BSIF « un accès immédiat, direct, complet et continu aux documents conservés à l’étranger » — immédiat et continu, ce qu’aucun audit annuel préavisé ne procure. Côté valeurs mobilières, l’attente est de même nature : l’instruction complémentaire du 31-103 veut que l’autorité, la société inscrite et ses auditeurs bénéficient du même accès au produit du travail du fournisseur que si les activités étaient exercées à l’interne, et qu’une clause en ce sens figure au contrat.

Ce que nous y répondons

Notre contrat donne un droit d’audit (art. 14.10) une fois par douze mois, sur préavis de quinze jours ouvrables, exerçable par vous et satisfaisable par rapports et questionnaires. Il ne nomme ni le BSIF ni l’autorité en valeurs mobilières, il est cadencé, il est préavisé, et nous n’avons aucun rapport SOC 2 ni certification ISO à produire à la place. Sur les trois attentes ci-dessus, il n’en satisfait aucune telle qu’écrite : c’est la clause à réécrire avant signature, en y ajoutant nommément votre régulateur. Ce qui existe en revanche et se démontre : instance dédiée, journal d’audit consultable, accès par utilisateur et par groupe, export intégral à tout moment, et un préavis contractuel en cas de divulgation contrainte par une autorité étrangère.

attente du régulateur·Publiée le 30 avril 2023 ; en vigueur le 1er mai 2024·Source officielle