Martin Kunz, Pictet: «Le CTO doit être un véritable agent du changement»
A la tête de la technologie du groupe Pictet depuis 2025, Martin Kunz a vu son périmètre s’élargir à l’infrastructure et à la cybersécurité. Le Group CTO revient sur la modernisation de l’IT, le recours croissant au cloud et à l’IA agentique, ainsi que sur les nouveaux risques auxquels les institutions financières doivent se préparer.
Vous avez passé plus de trente ans chez Pictet et occupez depuis 2025 la fonction de Group Chief Technology Officer. Qu’est-ce que cette fonction a changé dans vos priorités?
Le principal changement est que je suis désormais aussi responsable de l’infrastructure. Auparavant, j’étais CTO de l’Asset Management et je ne m’occupais pas de l’infrastructure on-premise, mais uniquement du cloud. Avec cette responsabilité globale, la cybersécurité est également entrée dans mon périmètre. Les risques cyber sont en forte augmentation et ce sujet a pris beaucoup de place dans mon agenda durant cette première année.
Comment l’IT est-elle organisée aujourd’hui chez Pictet?
Nous avons beaucoup fait évoluer notre organisation et adopté un product model à travers l’ensemble de Pictet Tech. Nous comptons aujourd’hui 86 produits qui couvrent notre périmètre fonctionnel. Les product managers se trouvent dans les lignes métiers, tandis que l’engineering est sous ma responsabilité et réparti entre Genève, Luxembourg et Lisbonne, nos trois centres d’ingénierie. Nous sommes un peu un build shop chez Pictet Tech: nous réalisons beaucoup de logiciels. D’autres entreprises font davantage de buy. Nous faisons un peu les deux, mais beaucoup de nos applications sont développées en interne. Elles sont développées sur nos trois sites, avec une approche intégrée avec les lignes métiers, où nous avons des product managers et des CTO dédiés.
Quels sont actuellement les principaux chantiers technologiques du groupe?
Nous travaillons beaucoup sur la refonte de l’expérience client, notamment sur l’onboarding et tout ce qui touche au Know Your Customer et à la compliance. Le renforcement des contrôles en matière de lutte contre le blanchiment génère également beaucoup de projets autour de ces processus. Nous travaillons aussi sur l’intelligence artificielle et sur notre stratégie cloud. En parallèle, nous poursuivons la modernisation de nos applications et leur migration progressive vers le cloud.
Quelle place le cloud occupe-t-il aujourd’hui dans votre architecture et quels critères, notamment en matière de souveraineté et de dépendance aux fournisseurs, guident vos choix?
Cela dépend beaucoup du type d’activité. Pour les activités institutionnelles, les critères sont principalement liés à l’efficience et au risque de contrepartie. Si l’utilisation d’un logiciel dans le cloud permet d’aller plus vite, pourquoi pas, à condition de travailler avec une tierce partie de premier plan. Pour les workloads bancaires impliquant des données bancaires suisses, les critères sont plus stricts. Nous regardons notamment le stockage en Suisse, un chiffrement fort, l’absence d’accès aux données par le fournisseur et un niveau élevé de résilience. Oui, la souveraineté est très importante. Mais il faut être précis sur ce qu’elle signifie. Le simple fait que les données soient stockées en Suisse ne veut pas forcément dire que l’on est souverain. Nous sommes par ailleurs multi-cloud et travaillons avec plusieurs fournisseurs. Mais dès que l’on utilise des services avancés, un risque de lock-in apparaît. Nous devons donc l’évaluer et, lorsqu’il existe, prévoir une stratégie de sortie. C’est aussi ce que demande DORA. Même si cette réglementation ne s’applique pas directement à la Suisse, plusieurs de nos entités européennes doivent s’y conformer. Il faut également tenir compte du Cloud Act et, plus largement, du cadre juridique lié à la localisation des données.
Quels usages de l’intelligence artificielle sont déjà déployés chez Pictet?
Nous avons d’abord des assistants de type Copilot, avec notamment le déploiement de Microsoft 365, ainsi qu’un chatbot sécurisé sur lequel nous avons réalisé diverses applications. Cela représentait déjà un grand changement, surtout pour la partie bancaire. Nous utilisons également Claude Code et Claude Cowork, principalement pour la création de logiciels. Ces outils nous permettent d’être plus efficaces dans l’écriture du code, mais aussi dans le design des applications. Depuis quelques années, nous avons aussi des réalisations d’IA utilisées par les métiers. Au départ, elles concernaient principalement les activités institutionnelles, notamment l’Asset Management. Nous les mettons désormais davantage à disposition de la partie bancaire et de l’asset servicing, par exemple pour vérifier des transactions, détecter des fraudes ou contrôler la complétude de documents et de processus réglementaires.
Comment l’IA agentique fait-elle évoluer ces usages et jusqu’où êtes-vous prêt à laisser agir les agents?
Nous commençons à utiliser l’IA agentique notamment dans la recherche en investissement. Des agents peuvent parcourir différentes sources d’information et produire des résumés. Nous commençons également à utiliser des agents pour la productivité individuelle. Nous pensons qu’à l’avenir nous en utiliserons beaucoup, mais nous avançons de manière très encadrée. Il y a encore peu de temps, la principale crainte concernait les hallucinations: on demandait à Copilot de générer un texte et certaines informations pouvaient être incorrectes. Avec les agents, le risque évolue: ils peuvent accomplir des actions que nous n’avions pas prévues. Cela ne signifie pas pour autant qu’il faut bannir l’IA. Il y a toujours le principe du human in the loop. Pour l’instant, nous ne déployons pas d’agents disposant de droits d’écriture. Un agent peut par exemple traiter des e-mails contenant des instructions de clients et aider un collaborateur à accélérer son processus de décision. En revanche, il ne va pas directement écrire des ordres de bourse. Nous pouvons envisager de passer d’un contrôle à quatre yeux humains à deux yeux humains complétés par deux «yeux» d’agents. Mais laisser les agents agir entièrement seuls, ce n’est pas quelque chose que nous autorisons aujourd’hui. Dans le développement logiciel aussi, avec des outils comme Claude Code, beaucoup de code peut être généré et il n’est pas toujours simple pour un humain de tout revoir. Une approche de plus en plus répandue consiste à utiliser d’autres agents pour contrôler ce que font les premiers. Les contrôles humains restent ensuite là pour vérifier que le logiciel produit fait réellement ce qui était demandé.
Comment vos priorités en matière de cybersécurité évoluent-elles?
Le cloud est à la fois un moyen d’augmenter la sécurité et une source de risques. Nous pouvons bénéficier des capacités de sécurité très fortes des hyperscalers et des fournisseurs cloud, avec des outils qu’il serait parfois difficile de développer ou d’acquérir nous-mêmes. Mais cela introduit aussi un risque lié aux tierces parties. Il faut s’assurer que les fournisseurs respectent les droits qui leur sont accordés et leurs engagements contractuels, notamment concernant l’accès aux données. Cela implique un important travail de validation et de due diligence. Ce risque peut aussi venir des plugins, qui peuvent disposer de nombreux droits d’accès. Nous avons vu récemment un cas avec un CRM où ce n’était pas l’application qui avait été compromise, mais un plugin. Le pirate pouvait récupérer des droits d’accès et ensuite accéder aux données dans le CRM en SaaS. Cette vulnérabilité ne concernait pas Pictet. La vitesse de réaction est également devenue beaucoup plus importante. Lorsqu’une vulnérabilité est annoncée, il faut pouvoir agir rapidement. La semaine dernière, par exemple, nous avons été informés d’une vulnérabilité sur un composant important et nous l’avons patchée le soir même. Avant, nous aurions pu attendre la prochaine release, un mois plus tard.
Quels nouveaux risques technologiques les institutions financières doivent-elles désormais anticiper?
J’ajouterais un autre risque, lié à la résilience et au contexte géopolitique. Historiquement, la résilience consistait surtout à prévoir le cas d’un incendie dans un datacenter et à pouvoir basculer vers un datacenter de secours. Aujourd’hui, nous devons aussi envisager des attaques systémiques contre les infrastructures. Des actes de sabotage ou des conflits peuvent rendre indisponible toute une région. Nous avons vu au Moyen-Orient des datacenters de plusieurs fournisseurs cloud attaqués par des drones. Dans ce type de situation, une stratégie de résilience classique ne suffit plus. Il faut envisager des stratégies beaucoup plus globales, par exemple avec des sauvegardes dans une autre région.
Selon vous, les banques suisses sont-elles suffisamment préparées à ces risques?
En matière de cybersécurité, il existe aujourd’hui une prise de conscience assez forte. Toutes les grandes banques renforcent leurs contrôles, même si cela nécessite des investissements et une certaine taille. Chez Pictet, nous avons par exemple développé le red teaming en interne. Des équipes essaient de pénétrer nos propres systèmes pour identifier d’éventuelles failles. Auparavant, nous faisions surtout appel à des prestataires externes pour ce type de tests. Le fait de le faire également en interne permet de réduire le cycle entre la détection d’un problème et son patching. En revanche, le risque géopolitique est plus récent. Je ne suis pas certain que beaucoup de banques suisses pourraient continuer à fonctionner normalement dans une situation de conflit latent en Europe. Il ne faut pas forcément imaginer une guerre mondiale: des actes de sabotage peuvent déjà toucher des infrastructures critiques. C’est un sujet qui prend davantage de place dans l’agenda des CTO et des responsables des risques.
Comment voyez-vous évoluer le rôle du CTO dans les prochaines années et quelles compétences deviendront indispensables?
Le CTO doit jouer un rôle plus actif auprès des métiers. Il ne s’agit plus seulement d’implémenter ce qui est demandé, mais aussi d’être en amont, de conseiller et de proposer d’autres manières de faire. Il y a aussi une dimension de coût liée à l’intelligence artificielle. Si l’on ne fait pas attention, elle peut rapidement devenir très chère. Il faut donc aller chercher les gains d’efficience qui vont avec. Je ne pense pas que tout sera fait par l’IA dans quelques années, mais certaines tâches seront de plus en plus automatisées. Si nous n’allons pas chercher ces gains d’efficience, nous risquons simplement de devenir trop chers par rapport à la concurrence. Plus nous créerons d’applications à l’aide d’outils comme Claude, plus nous devrons aussi gérer le risque de voir certaines d’entre elles survivre à leur créateur: une personne quitte l’organisation, plus personne ne maîtrise vraiment l’application, mais celle-ci continue malgré tout d’être utilisée. Vous avez alors un mitage de l'environnement IT qu’il va falloir gérer. Il faut donc très bien comprendre la technologie, même si l’on ne développe plus forcément soi-même des applications, et savoir simplifier le discours. Je travaille avec le comité exécutif de Pictet et je ne peux pas demander à tous mes collègues de maîtriser tous les détails techniques. Mon rôle est de leur donner une version simplifiée et compréhensible des enjeux, par exemple lorsqu’il s’agit du cloud, de la migration des données ou de leur sécurisation. Et j’ajouterais qu’un CTO doit être un véritable agent du changement. Avant, nous étions davantage là pour soutenir le business dans une fonction de support. Demain, nous serons là pour réellement guider le changement.
L’actualité IT en Suisse et à l’international, avec un focus sur la Suisse romande, directement dans votre boîte mail > Inscrivez-vous à la newsletter d’ICTjournal, envoyée du lundi au vendredi!
