Le mea culpa du nouveau patron de la SEC

 Les révélations de piratages se multiplient ces dernières semaines et font des victimes parmi les dirigeants de sociétés mais aussi dans le secteur public. Ce mardi, c’est le patron d’Equifax, la société d’évaluation de crédit, qui a été remercié après qu’un piratage de grande ampleur de la société, impliquant les données de 143 millions d’Américains, a été mis à jour, ainsi que des cessions de titres par les dirigeants avant l’officialisation. Après les infiltrations russes chez Facebook, aucun acteur ne semble épargné par cette épidémie, y compris le gendarme boursier américain, la SEC (Securities and Exchange Commission). La semaine dernière, elle a révélé avoir découvert que son système informatique avait été piraté en 2016, si bien que des hackers pourraient avoir eu accès au logiciel d’enregistrement des sociétés Edgar, et s’être livrés à des délits d’initiés en toute impunité.

La SEC s’est montrée laconique sur l’étendue de ce piratage, et a indiqué n’avoir appris que celui-ci aurait pu engendrer des opérations illégales le mois dernier, lorsqu’il a ouvert une enquête et coopéré avec les « autorités compétentes » - ironiquement, c’est la SEC elle-même qui est en principe en charge de ce type d’investigation, comme dans le cas d’Equifax. Cette révélation est un véritable camouflet pour le nouveau patron de la SEC, qui a remplacé Mary-Jo White en mai dernier et avait déclaré à l’été dernier que la SEC prenait « de nouvelles mesures pour trouver et éliminer de notre système (…) les escrocs qui utilisent les technologies pour mentir, tricher et voler ».

Jay Clayton s’est dit très « préoccupé » par le piratage du système Edgar, où les sociétés enregistrent des documents confidentiels avant qu’ils ne soient rendus publics par l’institution. Il traite plus de 1,7 million de documents par an, ce qui pourrait avoir donné lieu à des opérations litigieuses de grande ampleur. Lors de son audition, il a jugé que la direction précédente, emmenée par Mary-Jo White, n’avait pas fait suffisamment l’an passé pour évaluer l’ampleur de ce hacking et le risque de délits d’initiés, même s’il a écarté que cet incident ait pu créer un « risque systémique » pour les marchés. Mais il s’est aussi montré beaucoup plus humble dans la lutte contre les cyber-attaques, qui sont dans une certaine mesure inévitables. « Nous devons reconnaître – que ce soit dans le secteur privé comme public, y compris à la SEC – qu’il y aura des intrusions, et qu’un élément clé de la gestion du cyber-risque est la résilience et le rétablissement », a-t-il ainsi déclaré.

Il en a profité pour annoncer la création d’une nouvelle unité en interne chargée d’enquêter sur les nouvelles méthodes permises par les nouvelles technologies, afin de lutter contre plusieurs types d’infractions comme les manipulations de marché et les vols d’informations privilégiées. De quoi répondre aux inquiétudes du Government Accountability Office qui, en juillet dernier, avait déjà pointé les déficiences des systèmes d’information de la SEC qui « limitent l’efficacité des contrôles pour protéger la confidentialité, l’intégrité et l’accessibilité » et trouvent écho dans ces révélations. « Je pense que nous devons être prudents avant de punir les entreprises responsables qui sont néanmoins victimes de cyber-attaques sophistiquées ». Une clémence qu’il devrait aujourd’hui appliquer à lui-même.