Les règles de conservation des documents de la Financial Industry Regulatory Authority (FINRA) imposent des exigences strictes aux courtiers-négociants et aux autres acteurs financiers en matière d’archivage et de conservation des livres et registres, y compris les communications électroniques. De son côté, la Securities and Exchange Commission (SEC) américaine encadre elle aussi la manière dont les documents électroniques doivent être conservés, avec des sanctions en cas de non-conformité.
Ce guide se concentre sur les mesures que les administrateurs informatiques et les fournisseurs de services gérés (MSP) peuvent prendre pour répondre aux exigences de la règle FINRA 4511 et de la règle SEC 17a-4(f) concernant le stockage et la récupération sécurisés des communications et documents financiers, pour leur propre entreprise ou pour le compte de leurs clients.
🎥 Découvrez l’aperçu visuel ici : Guide de conformité pour répondre aux exigences de la FINRA et de la SEC en matière de conservation des communications électroniques.
Quelle est la différence entre la SEC et la FINRA ?
La FINRA est un organisme privé d’autorégulation regroupant les courtiers-négociants aux États-Unis. Elle élabore et applique des règles destinées à aider les entreprises financières à exercer leur activité de manière légale et éthique. Bien qu’elle ne soit pas une agence gouvernementale américaine, elle a le pouvoir d’infliger des amendes et d’imposer des restrictions aux courtiers-négociants qui enfreignent ses règles, ou celles fixées par le Municipal Securities Rulemaking Board (MSRB) ou la SEC.
La SEC est une agence gouvernementale américaine indépendante, créée pour préserver le bon fonctionnement des marchés et protéger les investisseurs en faisant appliquer différents textes de loi, notamment en matière de reporting financier des entreprises.
Qui est concerné par la règle FINRA 4511 et la règle SEC 17a-4 ?
Les administrateurs informatiques et les MSP qui gèrent les systèmes informatiques de courtiers-négociants enregistrés auprès de la SEC et d’entreprises membres de la FINRA doivent prendre des mesures pour respecter les règles de conservation des documents et de préservation des données afin de garantir leur conformité.
Ce guide vous aide à identifier les outils et les processus permettant de répondre à vos obligations de conservation et d’archivage, mais vous devez lire et comprendre vous-même la réglementation directement à la source officielle, puis consulter des experts juridiques et techniques pour déterminer quelles règles s’appliquent à votre entreprise et vous assurer qu’elles sont effectivement mises en place.
C’est un point essentiel, car la non-conformité (même involontaire) peut entraîner des mesures coercitives : amendes, suspension ou retrait d’agrément. D’autres réglementations peuvent également s’appliquer à votre entreprise (notamment en matière de protection des données clients) selon votre localisation ou la nature de votre activité.
Types de communications concernés
Les règles de conservation de la SEC et de la FINRA s’appliquent à toutes les communications professionnelles, physiques comme électroniques. Cela comprend les e-mails, les outils de messagerie et de collaboration (comme Slack et Microsoft Teams), les enregistrements d’appels audio et vidéo (y compris les messages vocaux), ainsi que les échanges sur les réseaux sociaux (s’ils sont liés à l’activité professionnelle).
Les équipes juridiques et de conformité de votre entreprise doivent définir le périmètre des communications et les critères de supervision, afin que toutes les communications soumises à obligation soient correctement conservées conformément à la réglementation. Toutes les communications devront être conservées pendant les durées de rétention définies, dans un format protégé contre la perte de données et impossible à modifier. De plus, les données devront parfois être immédiatement accessibles pour permettre un contrôle de supervision régulier.
Règle FINRA 4511 : check-list des obligations générales de conservation
Se conformer à la règle FINRA 4511 peut aussi impliquer de répondre à plusieurs autres exigences définies par l’Exchange Act et la SEA. Lorsque vos équipes de conformité planifient et mettent en place vos systèmes de conservation des documents, elles doivent tenir compte des points suivants :
- Les documents doivent être exacts et complets
- Les données doivent être stockées dans un format inviolable, protégé contre la perte de données et toute altération
- Les enregistrements de communications conservés doivent être gardés jusqu’à 6 ans, selon le type de document
- La durée de rétention peut varier selon le type de document conservé
La conservation des données de communication peut être facilitée par des solutions d’archivage des e-mails prenant en charge la recherche, la récupération et l’export. Certaines données nécessitent des mesures particulières pour être correctement archivées, par exemple celles issues d’applications de messagerie comme Microsoft Teams ou de plateformes collaboratives comme SharePoint.
Règle SEC 17a-4(f) : stockage électronique des documents des courtiers-négociants
Les procédures imposées par la règle SEC 17a-4(f) portent notamment sur la durée de conservation des enregistrements de communications et sur les normes techniques à respecter. Ces recommandations peuvent vous aider à assurer votre conformité :
- Utilisez un stockage immuable conforme au principe WORM (write once, read many)
- Appliquez un horodatage numérique à tous les documents conservés
- Conservez des copies dupliquées de toutes les données dans des lieux géographiquement distincts
- Tenez à jour des index des documents stockés
- Veillez à ce que les documents soient immédiatement accessibles pendant toute la durée de rétention
- Informez l’autorité désignée avant d’utiliser tout nouveau support de stockage électronique
Exigences de supervision et d’accès
Les règles de conservation de la FINRA comme la réglementation de la SEC exigent que tous les documents archivés soient disponibles sur demande, ce qui suppose une solution d’archivage dotée d’une fonction de recherche adaptée à l’eDiscovery. Les entreprises peuvent également avoir à désigner un tiers indépendant pour aider la SEC à y accéder si nécessaire.
Tous les documents archivés doivent faire l’objet d’un audit des accès, des modifications et des tentatives de suppression, et des revues régulières doivent être menées pour vérifier la conformité aux exigences de la FINRA, de la SEC et aux autres politiques de préservation des données applicables. Les pistes d’audit doivent être conservées aussi longtemps que les données elles-mêmes.
De plus, les documents peuvent devoir être supervisés dans le cadre de procédures de supervision écrites (WSP).
Conformité aux règles de conservation de la FINRA et de la SEC avec Microsoft 365 et Google Workspace
De nombreuses entreprises financières utilisent Microsoft 365 et Google Workspace comme logiciels de messagerie, de productivité et de collaboration. Ces solutions entièrement gérées offrent fiabilité et fonctionnalités prêtes à l’emploi sans avoir à gérer d’infrastructure, mais elles reposent sur un modèle de responsabilité partagée, qui fait peser sur le client l’entière responsabilité des données perdues. En tant qu’administrateur informatique ou MSP manipulant des données financières, c’est donc à vous de veiller à ce qu’elles soient conservées conformément aux règles de la FINRA et de la SEC, ainsi qu’aux autres réglementations sur les données comme le CCPA et l’HIPAA.
Cela signifie que les données conservées doivent également être sauvegardées. Attention toutefois : tous les systèmes de sauvegarde ne sont pas conformes aux exigences de la FINRA et de la SEC, et il existe des solutions d’archivage et de sauvegarde conçues spécifiquement pour le secteur des services financiers.
Si vous avez pour mission de conserver des données financières conformément aux règles de la FINRA et de la SEC, contactez dès aujourd’hui un représentant NinjaOne pour découvrir comment notre plateforme pour MSP peut vous aider à assurer votre conformité.
