La réponse courte
La supervision du risque des tiers TIC sous DORA commence par l’identification des services TIC qui soutiennent l’entité financière et l’analyse de l’impact qu’aurait leur défaillance sur l’activité. Un conseil doit attendre un registre complet, une évaluation justifiée des fonctions critiques ou importantes, l’identification claire des lacunes contractuelles, une analyse de concentration et des options de sortie crédibles. Un fournisseur désigné « critique » par les autorités européennes de supervision n’est pas la même chose qu’un service soutenant votre fonction critique ou importante. Ni l’externalisation ni la supervision d’un fournisseur ne transfèrent la responsabilité de l’entité financière. Les modèles pratiques ci-dessous aident les administrateurs à transformer cette responsabilité en décisions et en suivi.
1. Commencez par le service que l’entreprise doit maintenir
Un rapport d’achats commence généralement par les prestataires, les dépenses annuelles et les dates de renouvellement. Une discussion DORA utile au conseil démarre par le résultat attendu pour le client : régler une réclamation, effectuer un paiement, tenir à jour un registre d’investissements ou donner accès à un compte. Puis remontez la chaîne à travers systèmes, services externes et intervenants nécessaires pour atteindre ce résultat.
Cela fait évoluer la question de « Avons-nous évalué notre fournisseur cloud ? » à « Que devient ce service si la plateforme d’identité, la région d’hébergement ou le prestataire de support sont indisponibles ? ». La seconde question révèle des dépendances qu’une fiche de notation fournisseur peut ignorer. Un service d’authentification à bas coût peut interrompre plus d’activités qu’un gros contrat logiciel.
Le point de départ juridique est que l’usage de services TIC ne transfère pas les obligations de l’entité financière à son fournisseur. DORA place le risque tiers TIC dans le cadre de gestion des risques de l’entité. Voir Article 28 du Règlement (UE) 2022/2554. L’interprétation et les méthodes de travail dans ce guide sont des suggestions pratiques ; ce n’est pas l’expression exhaustive de chaque exigence applicable à tout type d’entité.
Pour une note au conseil, demandez au sponsor exécutif d’identifier le service métier concerné, le propriétaire interne responsable, la tolérance à l’interruption, l’exposition actuelle et la décision requise. Gardez le détail technique en annexe. Les administrateurs ont besoin de suffisamment d’informations pour remettre en question une hypothèse, sans pour autant devenir l’équipe d’incident ou négocier chaque clause contractuelle eux-mêmes.
2. Ne confondez pas une fonction critique avec un fournisseur critique désigné
Deux évaluations répondent à des questions différentes. Votre entité détermine quelles fonctions sont critiques ou importantes dans le cadre DORA. Les autorités européennes de supervision désignent les prestataires TIC tiers critiques dans le cadre du dispositif de surveillance de l’Union. L’ESMA précise que cette surveillance vient compléter les propres responsabilités des entités financières ; elle ne s’y substitue pas. Voir Explication de la supervision DORA par l’ESMA.
| Question | Service soutenant une fonction critique ou importante | Fournisseur tiers critique désigné pour les TIC |
|---|---|---|
| Que prend-on en considération ? | L’importance d’une fonction pour l’entité financière et des services TIC qui la soutiennent. | L'importance du prestataire dans le cadre plus large de la surveillance du secteur financier. |
| Que devrait demander le conseil d'administration ? | Pourquoi cette fonction est-elle classée ainsi et quelles seraient les conséquences d’un échec ? | Quelles informations de supervision pertinentes modifient notre évaluation de cette dépendance ? |
| Qu’est-ce que cela n’atteste pas ? | Que le fournisseur a été désigné comme critique par les autorités. | Que chaque service acheté auprès du fournisseur soutient une fonction critique, ou que le client est conforme. |
Appliquer cette distinction à un prestataire spécialiste de petite taille. Il peut représenter votre unique accès à un service financier important sans figurer sur la liste officielle des prestataires. De même, acheter un service secondaire à un grand prestataire désigné ne dispense pas d’évaluer l’utilisation réelle. Conservez ces deux classifications séparément pour éviter qu’un champ trompeur “critique : oui/non” oriente toutes les décisions suivantes.
3. Rendez le registre complet, connecté et explicable
Le registre ne se limite pas aux contrats portant sur des fonctions critiques ou importantes. L'article 28(3) couvre tous les accords contractuels relatifs aux services TIC fournis par des tiers, tout en distinguant ceux soutenant ces fonctions. Règlement d’exécution (UE) 2024/2956 fournit les modèles standards, y compris des informations complémentaires d’évaluation et relatives à la chaîne d’approvisionnement pour les fonctions critiques ou importantes.
Un contrôle d'exhaustivité pratique commence par la comparaison du registre avec les historiques achats, les paiements récurrents, l'inventaire des applications et la connaissance des responsables de service. Les écarts sont des éléments d’enquête, non des preuves automatiques d’une faille : une facture peut concerner un service non ICT ou plusieurs factures peuvent relever d’un même accord. Documentez la conclusion au lieu d’écarter discrètement l’écart.
Demandez à une personne extérieure à l’équipe de gestion du registre de suivre une dépendance de bout en bout. Peuvent-ils identifier l’entité contractante, l’utilisateur effectif du service, le prestataire, la fonction couverte, le responsable désigné et le contrat actuel ? Peuvent-ils distinguer un accord externe d’un arrangement interne au groupe ? Si les liens ne peuvent être expliqués, exporter un fichier techniquement valide n’a pas réglé le problème de gestion.
- Attribuez un responsable nommé pour toute question en suspens de classification et d’attribution de propriété.
- Consigner la date et la raison du changement, notamment après une acquisition ou une migration de service.
- Procédez à la réconciliation lors de l’approbation d’un nouveau service, pas uniquement avant la date de soumission.
- Montrez aux dirigeants les lacunes de couverture et leur ancienneté, plutôt que seulement un décompte global des fournisseurs.
Le conseil n’a pas à valider chaque ligne de tableau. Il doit s’assurer qu’un responsable veille à l’exhaustivité, que l’incertitude est visible, et que les dépendances importantes reçoivent l’attention appropriée.
4. Transformez la politique tierce en étapes de décision
Une politique devient utile lorsqu’elle modifie une décision avant que l’organisation n’en devienne dépendante. Pour les entités soumises aux exigences politiques pertinentes, Règlement délégué (UE) 2024/1773 traite le cycle de vie des dispositifs d’appui aux fonctions critiques ou importantes. Il impose à l’organe de gestion d’examiner la politique au moins une fois par an et de la réviser si nécessaire. L’applicabilité et la proportionnalité doivent être vérifiées selon la catégorie réglementaire de l’entité.
Les étapes suivantes constituent un modèle d’exploitation suggéré. Avant la sélection, le propriétaire métier décrit le service et les conséquences d’une défaillance. Avant signature, risque, sécurité, juridique et achats identifient ensemble les questions non résolues. Avant la mise en service, l’exploitation démontre l’existence de mécanismes de supervision, de soutien et de reprise. En cas de renouvellement ou d’évolution majeure, le propriétaire réévalue si les hypothèses originales tiennent toujours.
À chaque étape de validation, séparez trois affirmations : preuve obtenue, jugement émis, exception acceptée. Le rapport d’assurance d’un fournisseur est une preuve. Conclure qu’il couvre adéquatement votre usage du service est un jugement. Continuer malgré un écart non résolu constitue une exception, nécessitant une décision autorisée, des conditions et une date d’échéance.
Ne laissez pas chaque problème devenir « accepté par l’entreprise ». Identifiez qui a autorité pour accepter telle exposition selon la gouvernance de l’organisation. Remontez les dépendances dont les conséquences dépassent cette autorité. Le meilleur apport du conseil peut être de financer une capacité de reprise absente ou de refuser un lancement précipité dont la résilience reste non testée.
5. Analysez la concentration au-delà du tableau dépenses-fournisseurs
La concentration concerne l’échec corrélé autant que la dépendance commerciale. Deux contrats avec des raisons sociales différentes peuvent reposer sur la même infrastructure d’hébergement, le même fournisseur de connectivité, service d’identité ou sous-traitant spécialisé. Deux régions cloud peuvent partager un même plan d’administration. Ce sont des questions d’architecture qu’un graphe d’achats ne révèle pas.
DORA Article 29 traite l’évaluation du risque de concentration des TIC. Pour une discussion pragmatique au conseil, demandez à la direction de présenter quelques scénarios plausibles d’échec de dépendance et de préciser quels services métiers tomberaient ensemble. Rendez les hypothèses visibles : disponibilité du personnel, accès aux clés, connectivité, cohérence des données et capacité de l’alternative proposée.
| Schéma de dépendances | Question de remise en question | Éléments de preuve utiles |
|---|---|---|
| Plusieurs applications sur une seule plateforme | Quels services essentiels s’arrêtent ensemble ? | Une carte des dépendances liée à un scénario de perturbation. |
| Des fournisseurs différents utilisant un même sous-traitant | Notre diversification est-elle réelle ? | Informations sur la chaîne de service et évaluation d’impact confirmées. |
| Plateforme alternative avec peu de capacité disponible | Le service supporte-t-il la charge requise en cas de perturbation sectorielle ? | Un test de capacité mesuré avec des limitations documentées. |
| Reprise dépendante du même service d’identité | Les intervenants peuvent-ils accéder à l’environnement de reprise ? | Un test contrôlé des droits d’accès d’urgence et permissions de reprise. |
Faire appel à plusieurs fournisseurs peut aussi augmenter la complexité, les coûts d’exploitation et les risques de coordination. L’objectif n’est pas d’interdire toute concentration ni d’exiger des infrastructures dupliquées partout. Il s’agit de faire un choix éclairé sur une exposition précise, étayé par des options crédibles et un responsable identifié. Documentez pourquoi la mesure de réduction est proportionnée et quel événement justifierait une réévaluation.
6. Vérifiez les preuves contractuelles par rapport au service réellement utilisé
Un label « addendum DORA signé » est trop générique pour un contrôle efficace. Article 30 établit des exigences contractuelles, assorties de dispositions supplémentaires pour les services TIC soutenant des fonctions critiques ou importantes. Les conseillers juridiques doivent cartographier les exigences applicables à l’accord réel. La comparaison ci-dessous est un outil pratique de challenge, non une formulation contractuelle de substitution.
| Domaine à remettre en question | Une déclaration d’assurance du conseil faible | Une demande de preuve plus pertinente |
|---|---|---|
| Périmètre du service | « Le prestataire est couvert. » | Identifiez précisément les services, entités juridiques, emplacements et conditions de sous-traitance couverts par l’accord. |
| Assistance en cas d’incident | « L'assistance est disponible. » | Montrez comment l’assistance est sollicitée lors d’un incident grave et comment son coût est pris en compte dans le contrat. |
| Performance | « Le SLA est standard. » | Expliquez si les mesures et les chemins d'escalade révèlent une défaillance affectant notre service métier. |
| Assurance et accès | « Le fournisseur est certifié. » | Identifiez les droits d’audit et d’accès applicables, les preuves réunies et les limites matérielles de périmètre ou de calendrier. |
| Résiliation et transition | « Nous pouvons annuler. » | Montrez la voie utilisable vers la continuité de service, les données accessibles et une transition maîtrisée. |
Lisez les rapports d’assurance en tenant compte de leurs limites. Quelle période couvrent-ils ? Quelle configuration du service a été évaluée ? Des responsabilités clients sont-elles supposées ? Le rapport exclut-il un composant sur lequel s’appuie votre plan de reprise ? Un certificat à jour peut être utile sans pour autant répondre à une question opérationnelle précise.
Tenez un registre concis des écarts en reliant chaque problème à une conséquence métier, une mesure compensatoire, un responsable et une date d’échéance. Soumettez les expositions non résolues et les décisions hors délégation au conseil d’administration. Évitez de camoufler un écart important sous un taux élevé de clauses marquées comme complètes : une capacité manquante peut compter plus que de nombreux points mineurs résolus.
7. Testez si le plan de sortie est exécutable
Un droit contractuel à quitter et une capacité opérationnelle à quitter sont deux actifs distincts. Les dispositions de sortie DORA pour les services soutenant des fonctions critiques ou importantes figurent dans Article 28(8). En pratique, un conseil doit remettre en cause les hypothèses qui sous-tendent le plan : destination, données, personnes, temps, budget et continuité du service.
Distinguez une migration planifiée d’une interruption d’urgence. Un programme de migration sur six mois est peut-être commercialement réaliste mais inutile face à une panne immédiate. Le plan de reprise peut permettre au service de fonctionner tandis que le plan de sortie gère la dépendance à plus long terme. Demandez à la direction d’expliquer la relation plutôt que de présenter un document comme solution universelle.
- Choisir un service représentatif et définir le déclencheur de sortie.
- Exportez un échantillon contrôlé des données requises avec une protection appropriée.
- Vérifiez que la destination peut lire et rapprocher les données, et non seulement stocker un fichier.
- Vérifier les droits d'accès, licences, compétences spécialisées et accompagnement contractuel à la transition.
- Mesurer le temps et identifier le travail manuel, les dépendances manquantes et les hypothèses non testées.
- Update the cost, sequence, accountable owner and next test date.
Il s’agit d’une séquence de test suggérée, non d’une obligation de faire une migration de production non contrôlée. Sélectionnez des tests sûrs adaptés au service et documentez leurs limites. Si seul un petit échantillon a été testé, indiquez-le. Si une alternative n’est pas prête, exposez clairement cette limite et montrez la décision de risque temporaire. Un statut vert ne doit jamais signifier simplement qu’un document existe.
8. Utiliser un dossier court pour le conseil avec les décisions annexées
Un pack de supervision utile peut s’articuler autour de cinq questions : ce qui a changé, ce qui pourrait échouer ensemble, quelles assurances se sont affaiblies, quelles options restent et quelle décision est requise. Il s'agit d'une suggestion de structure de rapport. La fréquence doit refléter les risques et modalités de gouvernance de l’organisation, plutôt qu’un calendrier trimestriel DORA universel inventé.
Inclure le petit nombre de dépendances ayant les plus grandes conséquences métier, les changements récents, les actions matérielles en retard et la prochaine décision contractuelle ou de migration pertinente. Expliquer les tendances. Une hausse du nombre de fournisseurs peut découler d’un inventaire mieux renseigné plutôt que d’une exposition accrue. Moins d’actions ouvertes peut refléter une vraie remédiation ou une modification de comptage.
- Reliez chaque risque matériel à un service métier pris en charge et à un dirigeant responsable.
- Distinguez capacité de reprise testée et objectif ou promesse fournisseur.
- Affichez les exceptions contractuelles, les écarts d’assurance non résolus et leur ancienneté.
- Identifiez les changements de concentration et les hypothèses nécessitant de nouvelles preuves.
- Indiquez la décision demandée, les alternatives envisagées et la conséquence du report.
Utilisez le Guide du tableau de bord de reporting DORA pour conseils pour rattacher ces mesures à la supervision plus large des risques TIC. Pour un exercice pratique, prenez une dépendance à fort enjeu dans la tableau de simulation d’incident pour le conseil d’administration. Le conseil doit retrouver les mêmes noms de services, responsables des risques et hypothèses de reprise dans les trois discussions.
9. Préparer la prochaine discussion autour d’une vraie dépendance
Ne commencez pas par demander à toutes les équipes de repenser chaque rapport. Sélectionnez un service important et demandez une chaîne de preuves cohérente : évaluation de la fonction, inscription au registre, contrat, contrôle d’assurance, test de reprise et plan de sortie. Demandez à différents responsables de passer le processus ensemble. Les identifiants contradictoires, présupposés obsolètes et actions non attribuées apparaîtront rapidement.
Transformez les constats en un bref plan d’amélioration. Résolvez d’abord les lacunes de propriété et d’inventaire. Traitez ensuite les décisions urgentes liées au renouvellement, à la migration ou à l’exposition. Enfin, améliorez le processus de supervision récurrente pour éviter la réapparition de ces mêmes lacunes. Fixez un livrable vérifiable pour chaque action, et non simplement une consigne d’« améliorer la gouvernance ».
Les administrateurs doivent également partager une compréhension commune de leur rôle. Le guide sur les exigences DORA pour la formation du conseil explique comment relier l’apprentissage aux responsabilités de gouvernance. BlueTeam Academy DORA Formation pour Dirigeants & Conseil d’Administration propose un programme axé sur la prise de décisions destiné aux équipes dirigeantes des entités financières relevant du champ d’application de DORA. Le programme n’est pas une évaluation de la conformité de l’organisation. Associez l’apprentissage à vos propres preuves de service, décisions et actions de suivi.
Questions posées par les cadres
Le registre DORA inclut-il uniquement les fournisseurs critiques ?
Non. L’article 28(3) couvre tous les accords contractuels relatifs aux services TIC fournis par des tiers. Les accords relatifs aux fonctions critiques ou importantes doivent être distingués, et les modèles de registre requièrent des informations supplémentaires sur ce point. La désignation de fournisseur critique est une évaluation distincte.
Utiliser un prestataire critique désigné rend-il notre société conforme ?
Non. La supervision européenne d’un fournisseur désigné ne remplace pas les responsabilités propres de l’entité financière. Votre organisation doit toujours comprendre sa propre dépendance au service, les modalités contractuelles, les contrôles en place et les options de reprise.
Chaque conseil doit-il approuver chaque contrat fournisseur ?
Ce guide n’affirme pas une exigence universelle d’approbation individuelle des contrats par le conseil. Utilisez les exigences juridiques applicables et votre gouvernance pour définir les pouvoirs délégués, les procédures d’escalade et les décisions réservées à l’organe dirigeant.
Un plan de sortie documenté suffit-il ?
Un document seul offre une garantie limitée. Vérifiez si les données peuvent être réutilisées ailleurs, si les compétences existent, si l’accompagnement de transition est réaliste et si le calendrier répond aux besoins du service. Les tests doivent être sûrs, proportionnés et explicites sur ce qu’ils n’ont pas démontré.
Sources et approfondissements
Législation primaire et documents de supervision. Les exemples pratiques et modèles de ce guide sont des suggestions, non des formulaires réglementaires prescrits.
- Règlement (UE) 2022/2554 : Articles 28–30
- Règlement délégué (UE) 2024/1773 : politique contractuelle vis-à-vis des tiers
- Règlement d’exécution (UE) 2024/2956 : registre des modèles d’information
- ESMA : supervision DORA et prestataires critiques désignés
Ce guide est à visée pédagogique. Vérifiez le périmètre de votre entité, le cadre applicable et les attentes du superviseur auprès de votre équipe juridique et conformité.
