Plan de continuité d’activité (PCA) : obligations des intermédiaires en assurance et exigences de l’ACPR

Le plan de continuité d’activité (PCA) est devenu un sujet central dans la conformité des professionnels de l’assurance. Si l’obligation de disposer d’un PCA est explicitement codifiée pour les établissements bancaires et les compagnies d’assurance, la question se pose avec acuité pour les intermédiaires en assurance — courtiers, mandataires, agents généraux — soumis au contrôle de l’ACPR (Autorité de contrôle prudentiel et de résolution). Comprendre si un plan continuité activité PCA intermédiaire assurance ACPR obligation existe formellement, et quelles en sont les conséquences pratiques, est indispensable pour tout dirigeant de cabinet souhaitant anticiper un contrôle. Cet article fait le point sur le cadre réglementaire applicable, les attentes réelles du superviseur et les mesures concrètes à mettre en œuvre.

Le cadre réglementaire du PCA applicable aux intermédiaires en assurance

Une obligation de moyens issue du Code des assurances et de la DDA

Contrairement aux entreprises d’assurance elles-mêmes, les intermédiaires en assurance (IAS) ne sont pas soumis à une obligation textuelle explicite de rédiger un PCA formalisé. Toutefois, le Livre V du Code des assurances, qui encadre les intermédiaires, impose une exigence générale d’honorabilité, de compétence et d’organisation suffisante pour exercer l’activité de distribution. L’article L521-1 du Code des assurances précise que tout distributeur doit disposer des moyens humains et matériels adaptés à son activité. Cette rédaction générale constitue le fondement implicite d’une obligation d’organisation robuste, dont le PCA est l’un des instruments.

La Directive sur la distribution d’assurances (DDA) 2016/97/UE, transposée en droit français par l’ordonnance n°2018-361 du 16 mai 2018, renforce cette logique. Elle impose aux distributeurs d’assurance de traiter leurs clients de manière honnête, équitable et professionnelle, et d’agir au mieux des intérêts des clients. Or, l’absence de dispositif de continuité d’activité en cas de sinistre informatique, de décès du dirigeant ou de crise sanitaire compromet directement la capacité d’un intermédiaire à honorer ses obligations contractuelles et légales envers ses clients. La Directive DDA 2016/97/UE inscrit cette exigence de professionnalisme dans un cadre européen contraignant.

Les recommandations ACPR : une soft law à portée réglementaire effective

L’ACPR, dans ses lignes directrices et recommandations publiées sur son site officiel, étend progressivement les attentes organisationnelles aux intermédiaires de taille significative. Bien qu’elles ne constituent pas des règlements contraignants au sens strict, les recommandations de l’ACPR ont une portée quasi-normative : tout intermédiaire qui ne les respecte pas s’expose à des observations, voire à des mesures de police lors d’un contrôle sur place ou sur pièces. L’ACPR publie régulièrement ses priorités de supervision, et la résilience opérationnelle des distributeurs figure désormais parmi ses axes de vigilance prioritaires.

Le superviseur s’appuie également sur les principes dégagés par l’EIOPA (Autorité européenne des assurances et des pensions professionnelles), qui recommande aux autorités nationales de s’assurer que les distributeurs disposent de procédures permettant de garantir la continuité du service aux assurés en cas d’événement perturbateur. Cette convergence entre le droit national et les standards européens renforce l’exigence effective de disposer d’un PCA, même en l’absence d’un texte explicite spécifique aux intermédiaires.

Contenu attendu d’un PCA pour un cabinet de courtage ou un mandataire

Les scénarios de risque à couvrir impérativement

Un plan de continuité d’activité pour un intermédiaire en assurance doit couvrir un spectre de risques adapté à la taille et à l’activité du cabinet. Les scénarios minimaux à anticiper incluent la panne du système d’information, la cyberattaque, l’indisponibilité des locaux (incendie, inondation), l’absence prolongée ou le décès du dirigeant unique, ainsi que les crises sanitaires impactant les équipes. Chacun de ces scénarios doit donner lieu à une procédure documentée, désignant les personnes responsables, les ressources de secours et les délais de rétablissement cible (RTO et RPO).

• Continuité du devoir de conseil : maintien de la capacité à informer et conseiller les clients en toutes circonstances
• Conservation des données clients : sauvegarde et restauration des fichiers assurés, contrats et historiques de sinistres
• Relations avec les compagnies mandantes : maintien des flux de transmission des actes (souscriptions, résiliations, sinistres)
• Gestion des fonds clients : sécurisation des flux financiers en cas de défaillance du système de gestion
• Communication de crise : information des clients et partenaires en cas d’interruption de service

La question du décès du dirigeant unique mérite une attention particulière : elle implique non seulement un PCA interne, mais aussi des obligations spécifiques auprès de l’ORIAS en matière de transfert de portefeuille. Pour approfondir ce sujet, consultez notre article sur le décès du dirigeant unique d’un cabinet de courtage et ses implications réglementaires.

La dimension cyber : un axe majeur du PCA en 2025

L’essor des cyberattaques ciblant les cabinets de courtage impose d’intégrer un volet cyber-résilience robuste dans tout PCA. L’ACPR considère désormais la gestion du risque cyber comme un critère d’appréciation de la solidité organisationnelle d’un distributeur. Un courtier victime d’une attaque par rançongiciel (ransomware) qui ne dispose d’aucun plan de reprise informatique documenté s’expose à la fois à une interruption d’activité prolongée et à des observations formelles du superviseur lors du contrôle suivant. Les exigences de formation DDA intègrent d’ailleurs désormais ce volet cyber dans les programmes obligatoires, ce que détaille notre article sur la formation DDA 15 heures dédiée aux cyber-risques pour les courtiers en 2025.

Différences selon la catégorie d’intermédiaire (IAS 1, IAS 2, IAS 3)

Les obligations organisationnelles, dont le PCA, ne s’appliquent pas avec la même intensité selon la catégorie d’enregistrement ORIAS de l’intermédiaire. Le tableau ci-dessous synthétise les attentes différenciées :

Pour les IAS 2 mandataires, notamment les auto-entrepreneurs ou structures légères, la compagnie mandante assume souvent une partie des obligations organisationnelles. Néanmoins, le mandataire reste personnellement responsable de la continuité de sa propre activité de distribution. Pour comprendre les spécificités réglementaires de ce statut, notre article sur la formation IAS 2 pour les auto-entrepreneurs mandataires en 2025 apporte des éléments de contexte utiles.

Sanctions en cas d’absence de PCA lors d’un contrôle ACPR

La gradation des mesures de supervision

L’absence de PCA ne constitue pas à elle seule une infraction autonome sanctionnée par un texte précis. En revanche, elle peut être qualifiée par l’ACPR comme un manquement aux obligations d’organisation professionnelle prévues par le Code des assurances, ouvrant la voie à un arsenal de mesures graduées. En pratique, lors d’un contrôle sur place, les inspecteurs de l’ACPR évaluent la maturité organisationnelle du cabinet selon une grille qui inclut la documentation des procédures, la gestion des risques opérationnels et la robustesse du système d’information.

• Observation formelle : premier niveau, sans publication, invitant à régulariser dans un délai fixé
• Mise en demeure : injonction de se mettre en conformité sous peine de sanction plus grave
• Sanction disciplinaire : avertissement, blâme, interdiction temporaire d’exercice, radiation
• Publication de la décision : effet réputationnel majeur pour le cabinet concerné

La gradation des sanctions de l’ACPR à l’égard des intermédiaires est détaillée dans notre article consacré aux sanctions disciplinaires de l’ACPR envers les intermédiaires en assurance, qui précise également les conditions de réhabilitation après une mesure de police.

Le risque amplificateur en cas de sinistre avéré

L’absence de PCA devient particulièrement problématique a posteriori, lorsqu’un événement perturbateur survient effectivement. Si un cabinet de courtage subit une cyberattaque, perd ses données clients et se révèle incapable de poursuivre son activité, l’ACPR peut engager une procédure disciplinaire en considérant que l’absence de dispositif de continuité caractérise un défaut grave d’organisation. Dans ce contexte, la responsabilité civile professionnelle du courtier pourrait également être engagée si des clients subissent un préjudice direct (défaut d’information sur un sinistre, non-renouvellement d’une garantie, etc.). Le cumul risque disciplinaire / risque de responsabilité civile justifie pleinement l’investissement dans un PCA formalisé.

Mettre en place un PCA efficace : étapes pratiques pour un intermédiaire

Une démarche proportionnée à la taille du cabinet

L’ACPR applique le principe de proportionnalité : un cabinet de courtage de deux personnes n’est pas tenu aux mêmes standards documentaires qu’un courtier grossiste gérant plusieurs milliers de contrats. Néanmoins, même les structures légères doivent pouvoir démontrer qu’elles ont réfléchi aux scénarios de crise et qu’elles disposent de réponses minimales documentées. La démarche se déroule en quatre étapes clés :

• Analyse des risques (BIA – Business Impact Analysis) : identifier les activités critiques, les dépendances et les impacts d’une interruption
• Rédaction du plan : formaliser les procédures de crise, désigner les responsables et définir les ressources alternatives
• Tests et exercices : simuler au moins une fois par an un scénario de crise pour valider l’efficacité du plan
• Mise à jour régulière : réviser le PCA à chaque changement significatif (recrutement, nouveau SI, changement de locaux)

Pour les cabinets dont l’activité implique des délégations de gestion ou des fonctions de courtier grossiste, les exigences organisationnelles sont encore plus structurées. La formation spécifique à ces structures, abordée dans notre article sur la formation DDA dédiée aux courtiers grossistes et gestionnaires délégués, intègre ces dimensions organisationnelles dans son programme.

Questions fréquentes

L’ACPR peut-elle sanctionner un courtier qui n’a pas de PCA formalisé ?

Oui, indirectement. L’ACPR ne dispose pas d’un texte imposant explicitement un PCA aux intermédiaires en assurance, mais elle peut qualifier l’absence de plan de continuité comme un manquement aux obligations générales d’organisation professionnelle prévues par le Code des assurances. Lors d’un contrôle, l’inspecteur évaluera la robustesse organisationnelle du cabinet. L’absence totale de procédures de continuité peut conduire à une observation formelle, une mise en demeure ou, en cas de sinistre avéré, à une sanction disciplinaire. academieconformite.fr recommande à tout cabinet de formaliser au minimum un PCA simplifié, même pour les structures légères.

Un mandataire d’assurance IAS 2 est-il soumis aux mêmes obligations de PCA qu’un courtier IAS 1 ?

Non, pas avec la même intensité. Le mandataire d’assurance exerce sous la responsabilité de la compagnie mandante, qui dispose généralement de son propre dispositif de continuité. Toutefois, le mandataire reste responsable de la continuité de sa propre activité de distribution et doit pouvoir garantir la permanence du service à ses clients. La compagnie mandante peut d’ailleurs imposer contractuellement des exigences organisationnelles spécifiques, dont un PCA minimum. Le niveau d’exigence est proportionnel au volume d’activité et à l’autonomie opérationnelle du mandataire.

Le décès du dirigeant unique d’un cabinet de courtage est-il couvert par le PCA ?

Le décès du dirigeant unique est l’un des scénarios les plus critiques à couvrir dans un PCA pour un cabinet de courtage. Il implique non seulement la désignation d’un successeur interne ou externe capable d’assurer la continuité opérationnelle, mais aussi des démarches réglementaires auprès de l’ORIAS pour le maintien ou le transfert de l’immatriculation. Ce scénario doit faire l’objet d’un volet spécifique du PCA, incluant les dispositions successorales, la désignation d’un mandataire ad hoc et les modalités d’information des clients et des compagnies partenaires.

Quels documents l’ACPR peut-elle demander en matière de PCA lors d’un contrôle ?

Lors d’un contrôle sur place ou sur pièces, l’ACPR peut demander la documentation organisationnelle du cabinet, incluant : le plan de continuité d’activité formalisé et daté, les comptes rendus de tests ou exercices de crise, la politique de sécurité des systèmes d’information (PSSI), les contrats de sauvegarde et d’hébergement des données, ainsi que les procédures de gestion de crise. L’absence de tout document sur ces sujets constitue un signal d’alerte fort pour l’inspecteur. academieconformite.fr propose des formations permettant aux dirigeants de cabinet de comprendre et d’anticiper ces exigences dans le cadre de leurs obligations DDA annuelles.