Le cloud pour les services financiers
Le cloud pour les services financiers
Une infrastructure européenne souveraine pour le core banking, les paiements, la gestion des sinistres et la connaissance client (KYC). Conçue pour la résilience exigée par le règlement DORA, la juridiction européenne des données et la maîtrise des coûts.
Les systèmes au cœur de votre activité fonctionnent depuis des années. Ce qui a changé, c’est le contexte autour : DORA, en vigueur depuis janvier 2025, des autorités de supervision qui s’interrogent sur votre dépendance à un seul hyperscaler, des données réglementées soumises à une juridiction étrangère, des projets d’IA qui ne peuvent pas sortir les données client de l’UE et un budget sans marge pour une nouvelle vague de frais de sortie et de volatilité des taux de change.
Les décisions d’infrastructure dans les services financiers ne concernent plus seulement la performance et les coûts. Elles se résument désormais à la résilience opérationnelle, au droit applicable à vos données et à votre capacité à tout démontrer à un auditeur ou une auditrice.
Au sommaire…
Conformité à DORA et souveraineté européenne. Cette présentation détaille les cinq piliers de DORA : gestion des risques liés aux TIC, signalement des incidents, TLPT, risques liés aux tiers et partage d’informations. Pour chacun, elle précise ce qu’il exige de votre fournisseur d’infrastructure et les éléments de preuve que demandera une autorité de supervision. Elle précise en outre la différence entre des datacenters situés en UE et un accès aux données exclusivement européen, la manière dont le CLOUD Act américain s’applique de façon extraterritoriale et ce que certifient réellement les qualifications SecNumCloud et SEAL-4.
Résilience, risque de concentration et un plan de sortie crédible. Des régions 3-AZ, une reprise après sinistre multirégion, des logs d’audit et des sauvegardes immuables, avec des objectifs de RTO et de RPO réalistes pour les plateformes de core banking, de paiements et de réclamations client. Fondée sur des standards ouverts (OpenStack, Kubernetes, S3), cette approche vous permet de bâtir une alternative européenne de niveau Tier-2 et de constituer un plan de sortie prêt pour les autorités de supervision, sans avoir à réécrire vos applications.
Économies prévisibles et IA souveraine. La tarification en euros, les frais de sortie nuls et la visibilité FinOps permettent de défendre un budget informatique sur 3 à 5 ans sans dépassement en cours d'année. Le tout, avec des projets de détection de la fraude, de KYC, de modélisation des risques et d’analyse actuarielle exécutés sur de la capacité GPU européenne, avec la traçabilité exigée par l’AI Act européen et sans exposition des données à des fournisseurs non européens.
Obtenir le livre blanc
Trois piliers
Souveraineté européenne
Société française, régie par le droit de l’Union européenne, sans maison mère américaine et non soumise au CLOUD Act. Les données régulées restent dans des datacenters situés dans l’UE/EEE.
Respect de la réglementation
Architecture et documentation alignées sur DORA, ISO 27001, SOC 1 & 2, PCI DSS niveau 1, SecNumCloud et SEAL-4, ainsi qu’un alignement avec les orientations de l’EBA et de l’EIOPA en matière d’externalisation.
Des coûts prévisibles
Une tarification en euros, sans frais d’entrée ni de sortie et une facturation compatible FinOps, afin que les équipes Finance, IT et Risques travaillent toujours sur le même budget.
Comment nous pouvons vous aider
Contrôle et optimisation des coûts du cloud
Les variations d’un trimestre à l’autre de votre facture cloud compliquent la défense d’un budget informatique sur trois ans. Nous analysons ce que vos workloads consomment réellement, basculons les charges stables de core banking et de reporting vers de la capacité réservée. Nous éliminons les mauvaises surprises : frais de sortie, environnements inactifs et licences devenues inutiles. La facturation s’effectue en euros. Il n’y a donc pas de dérive de change et un coût par service que vous pouvez présenter à votre directeur financier ou à votre directrice financière.
Migration vers le cloud
Vous ne pouvez pas simplement basculer des plateformes de core banking, de paiement ou de gestion des sinistres en un week-end lorsque les transactions ne peuvent pas s’interrompre. Nous planifions la migration un workload à la fois, faisons fonctionner vos anciens et nouveaux environnements en parallèle pendant la transition et basculons au moment qui vous convient le mieux. Mêmes applications, mêmes processus, avec en plus la piste de preuves que votre autorité de supervision vous demandera ensuite.
Modernisation et virtualisation des applications héritées
Des applications critiques pour l’activité qui tournent encore sur du matériel vieillissant et sur des licences de virtualisation dont les conditions ne cessent de changer. Nous migrons ces environnements vers un cloud privé hébergé qui correspond à votre stack actuelle. De plus, nous les modernisons progressivement : conteneurs, bases de données managées, nouvelles analyses. Le tout sans réécrire ce qui passe déjà les audits avec succès.
Haute disponibilité pour la continuité d’activité
Avec DORA, il ne suffit pas d’être résilient : il faut aussi pouvoir le prouver. Nous concevons des architectures 3-AZ et multirégion autour des RTO et RPO dont chaque service a réellement besoin, avec des sauvegardes immuables et une capacité de reprise testée. Ainsi, une attaque par ransomware se règle par une restauration plutôt que par une négociation. Documenté, auditable et prêt pour un test de résilience.
Pourquoi choisir OVHcloud ?
Fournisseur de cloud mondial de confiance
Une gamme complète de solutions cloud et bare metal innovantes depuis plus de 20 ans.
46 datacenters de premier plan
Présence mondiale sur 4 continents et 183 pays avec de multiples points de présence (PoP)
Chaîne d'approvisionnement intégrée verticalement
Des serveurs et des datacenters conçus et construits en interne, avec des composants de pointe.
Rapport performance-prix compétitif
Des solutions performantes et économiques dans un environnement cloud sécurisé, fiable, ouvert et durable.
Vous avez un projet ?
Notre équipe d'experts et d’expertes est prête à répondre à toutes vos questions et à discuter de vos besoins spécifiques.
Les questions que vous vous posez
L'hébergement chez OVHcloud nous rend-il conformes à la norme DORA ?
Aucun fournisseur ne peut vous rendre conforme et tout fournisseur qui prétend le contraire mérite d’être regardé de plus près. Selon DORA, les obligations incombent à l’entité financière : c’est vous qui portez le cadre de gestion des risques liés aux TIC, le registre d’informations et le programme de tests de résilience. Le travail d’un fournisseur est de vous fournir les preuves dont votre superviseur a besoin : les dispositions contractuelles de l’article 30, les informations sur la sous-traitance et la localisation des données exigées par votre registre, des droits d’audit et d’accès pour vous comme pour votre autorité de supervision, la notification des incidents et un accompagnement à la sortie documenté.
Que signifie « pas d’exposition au CLOUD Act » ?
Les datacenters situés dans l’UE et un accès aux données exclusivement européen ne sont pas la même chose. Le CLOUD Act américain s’applique aux fournisseurs soumis à la juridiction américaine, où que leurs serveurs soient physiquement situés. Ainsi, une région comme Francfort ou Paris, exploitée par une société mère américaine, reste concernée. OVHcloud SAS est une société française, régie par le droit européen, sans société mère américaine. En outre, pour les exigences les plus strictes, les couches de qualification SecNumCloud reposent sur des critères vérifiés par l’ANSSI.
Pouvons-nous migrer des plateformes de core banking ou de gestion des sinistres sans les réécrire et comment en sortirions-nous si nous devions le faire ?
Au fond, il s'agit de la même question. Private Cloud on VMware ou Nutanix correspond à votre stack actuelle. Il s'agit donc d'une migration et non d'une réécriture, gérée workload par workload, les deux environnements fonctionnant en parallèle jusqu'à ce que vous choisissiez de migrer. Public Cloud fonctionne sur des standards ouverts (OpenStack, Kubernetes, stockage compatible S3). Il n'y a donc pas d'API propriétaire à démêler plus tard. C’est ce qui distingue un plan de sortie purement documentaire d’un plan que vous pourriez réellement mettre en œuvre.
Concrètement, quels RTO et RPO pouvons-nous garantir et comment en apporter la preuve ?
Cela dépend du workload et ce qui vaut pour un grand livre de core banking ne sera pas identique pour une plateforme de reporting. Nous concevons nos architectures autour de régions 3-AZ pour les défaillances intra-région et d’une réplication multirégion pour les scénarios qu’une autorité de supervision cherchera à éprouver, avec des logs d’audit et des sauvegardes immuables ainsi qu’une restauration testée. Un événement de type ransomware peut ainsi se traduire par une reprise plutôt que par une négociation. Demandez l’architecture cible et les preuves de test ensemble : l’une sans les autres ne résistera pas à un test de résilience.