DORA : risques liés aux prestataires tiers de services TIC, guide de supervision pour le conseil d’administration

1. Commencez par le service que l’entreprise doit maintenir

Un rapport d’achats commence généralement par les fournisseurs, les dépenses annuelles et les dates de renouvellement. Une discussion DORA utile au conseil commence par un résultat attendu pour le client : verser une indemnité, exécuter un paiement, tenir à jour un registre d’investissements ou donner à un client accès à un compte. Remontez ensuite la chaîne des systèmes, des services externes et des personnes nécessaires pour obtenir ce résultat.

Cela fait évoluer la question de « Avons-nous évalué notre fournisseur cloud ? » à « Que devient ce service si la plateforme d’identité, la région d’hébergement ou le prestataire de support sont indisponibles ? ». La seconde question révèle des dépendances qu’une fiche de notation fournisseur peut ignorer. Un service d’authentification à bas coût peut interrompre plus d’activités qu’un gros contrat logiciel.

Le recours à des services TIC ne transfère pas les obligations de l’entité financière à son fournisseur. DORA intègre les risques liés aux prestataires tiers de services TIC au cadre de gestion des risques de l’entité. Voir l’article 28 du règlement (UE) 2022/2554. L’interprétation et les méthodes de travail présentées dans ce guide sont des suggestions pratiques ; elles ne constituent pas un exposé exhaustif de toutes les exigences applicables à chaque type d’entité.

Pour une note au conseil, demandez au dirigeant qui porte le projet d’identifier le service métier concerné, le responsable interne, le niveau de perturbation tolérable, l’exposition actuelle et la décision à prendre. Conservez les détails techniques dans les documents complémentaires. Les administrateurs ont besoin de suffisamment d’informations pour remettre en question une hypothèse, sans se substituer à l’équipe de réponse aux incidents ni négocier eux-mêmes chaque clause contractuelle.

2. Distinguez une fonction critique d’un prestataire désigné comme critique

Deux évaluations répondent à des questions différentes. Votre entité détermine quelles fonctions sont critiques ou importantes dans le cadre DORA. Les autorités européennes de supervision désignent les prestataires TIC tiers critiques dans le cadre du dispositif de surveillance de l’Union. L’ESMA précise que cette surveillance vient compléter les propres responsabilités des entités financières ; elle ne s’y substitue pas. Voir les explications de l’ESMA sur la supervision DORA.

Appliquez cette distinction à un petit prestataire spécialisé. Il peut constituer votre seul moyen d’accéder à un service financier important sans figurer sur une liste de prestataires désignés. De même, l’achat d’un service secondaire auprès d’un très grand prestataire désigné ne dispense pas d’évaluer l’usage réel de ce service. Enregistrez ces deux classifications séparément pour éviter qu’un champ trompeur « critique : oui/non » ne détermine toutes les décisions ultérieures.

3. Rendez le registre complet, relié aux autres informations et compréhensible

Le registre ne se limite pas aux contrats portant sur des fonctions critiques ou importantes. L'article 28(3) couvre tous les accords contractuels relatifs aux services TIC fournis par des tiers, tout en distinguant ceux soutenant ces fonctions. Le règlement d’exécution (UE) 2024/2956 fournit les modèles standards, y compris des informations complémentaires d’évaluation et relatives à la chaîne d’approvisionnement pour les fonctions critiques ou importantes.

Un contrôle pratique de l’exhaustivité commence par la comparaison du registre avec les documents d’achats, les paiements récurrents, l’inventaire des applications et les connaissances des responsables de service. Les écarts doivent être examinés : ils ne constituent pas automatiquement la preuve d’un manquement. Une facture peut concerner un service hors TIC, ou plusieurs factures peuvent relever d’un même accord. Consignez la conclusion au lieu d’écarter l’écart sans explication.

Demandez à une personne extérieure à l’équipe chargée de tenir le registre de suivre une dépendance de bout en bout. Peut-elle identifier l’entité contractante, l’utilisateur effectif du service, le prestataire, la fonction soutenue, le responsable désigné et le contrat en vigueur ? Peut-elle distinguer un accord externe de l’accord interne au groupe qui lui est lié ? Si les liens ne peuvent pas être expliqués, l’exportation d’un fichier techniquement valide n’a pas résolu le problème de gestion.

• Désignez un responsable pour les questions de classification et d’attribution des responsabilités encore en suspens.
• Consignez la date et le motif d’un changement, notamment après une acquisition ou une migration de service.
• Rapprochez les informations lors de l’approbation d’un nouveau service, pas seulement avant une échéance de déclaration.
• Montrez aux dirigeants les lacunes de couverture et leur ancienneté, plutôt que seulement un décompte global des fournisseurs.

Le conseil n’a pas à valider chaque ligne de tableau. Il doit s’assurer qu’un responsable veille à l’exhaustivité, que l’incertitude est visible, et que les dépendances importantes reçoivent l’attention appropriée.

4. Traduisez la politique relative aux tiers en critères de décision

Une politique devient utile lorsqu’elle influe sur une décision avant que l’organisation ne devienne dépendante. Pour les entités soumises aux exigences applicables en matière de politique, le règlement délégué (UE) 2024/1773 porte sur le cycle de vie des accords soutenant des fonctions critiques ou importantes. Il exige un réexamen de la politique par l’organe de direction au moins une fois par an, ainsi qu’une mise à jour si nécessaire. Vérifiez l’applicabilité et la proportionnalité selon la catégorie réglementaire de l’entité.

Les étapes de validation suivantes constituent une proposition de fonctionnement. Avant le choix du fournisseur, le responsable métier décrit le service et les conséquences d’une défaillance. Avant la signature, les équipes risques, sécurité, juridique et achats recensent ensemble les points non résolus. Avant la mise en service, les équipes opérationnelles démontrent que le suivi, l’assistance et la reprise sont organisés. Au renouvellement ou lors d’un changement important, le responsable vérifie si les hypothèses initiales restent valables.

À chaque étape de validation, distinguez les preuves obtenues, l’appréciation portée et l’exception acceptée. Un rapport de contrôle du prestataire constitue une preuve. Conclure qu’il couvre suffisamment votre utilisation du service est une appréciation. Poursuivre malgré une lacune non résolue est une exception qui nécessite une décision prise par une personne habilitée, des conditions et une date d’expiration.

Ne laissez pas chaque problème être considéré comme « accepté par les métiers ». Identifiez qui est habilité à accepter quelle exposition au risque selon les règles de gouvernance de l’organisation. Signalez au niveau décisionnel supérieur les dépendances dont les conséquences dépassent cette habilitation. La contribution la plus utile du conseil peut être de financer une capacité de reprise manquante ou de refuser un lancement précipité dont les hypothèses de résilience n’ont pas encore été testées.

5. Examinez la concentration au-delà du tableau des dépenses par fournisseur

La concentration concerne autant les défaillances corrélées que la dépendance commerciale. Deux contrats conclus avec des entreprises différentes peuvent reposer sur la même plateforme d’hébergement, le même fournisseur de connectivité, le même service d’identité ou le même sous-traitant spécialisé. Deux régions cloud peuvent malgré tout partager un même plan d’administration. Ce sont des questions d’architecture auxquelles un diagramme circulaire des achats ne peut pas répondre.

L’article 29 de DORA porte sur l’évaluation du risque de concentration des TIC. Pour une discussion concrète au conseil, demandez à la direction de présenter quelques scénarios plausibles de défaillance des dépendances et de montrer quels services métier seraient interrompus simultanément. Explicitez les hypothèses : disponibilité du personnel, accès aux clés, connectivité, cohérence des données et capacité de la solution de remplacement.

Faire appel à plusieurs fournisseurs peut aussi augmenter la complexité, les coûts d’exploitation et les risques de coordination. L’objectif n’est pas d’interdire toute concentration ni d’exiger des infrastructures dupliquées partout. Il s’agit de faire un choix éclairé sur une exposition précise, étayé par des options crédibles et un responsable identifié. Documentez pourquoi la mesure de réduction est proportionnée et quel événement justifierait une réévaluation.

6. Vérifiez les documents contractuels au regard du service que vous utilisez réellement

Une mention « avenant DORA signé » est trop peu précise pour assurer une supervision efficace. L’article 30 fixe les exigences contractuelles, avec des dispositions supplémentaires pour les services TIC soutenant des fonctions critiques ou importantes. Les juristes doivent rapprocher les exigences applicables de l’accord concerné. La comparaison suivante sert à poser des questions précises ; elle ne remplace pas la rédaction du contrat.

Lisez les rapports de contrôle en tenant compte de leurs limites. Quelle période couvrent-ils ? Quelle configuration du service a été évaluée ? Supposent-ils que le client remplit certaines responsabilités ? Excluent-ils un composant dont dépend votre plan de reprise ? Un certificat à jour peut être utile tout en laissant une question opérationnelle précise sans réponse.

Tenez un registre concis des écarts en reliant chaque problème à une conséquence pour l’activité, une mesure compensatoire, un responsable et une date d’échéance. Soumettez au conseil d’administration les expositions significatives non résolues et les décisions qui dépassent les pouvoirs délégués. Évitez de noyer un écart lourd de conséquences sous un pourcentage élevé de clauses marquées comme satisfaites : une capacité manquante peut compter davantage que de nombreux points à faible impact résolus.

7. Testez si le plan de sortie est exécutable

Le droit contractuel de quitter un prestataire et la capacité opérationnelle de le faire sont deux choses différentes. Les dispositions de DORA sur la sortie des accords relatifs aux services soutenant des fonctions critiques ou importantes figurent dans l’article 28, paragraphe 8. En pratique, un conseil devrait examiner de manière critique les hypothèses qui sous-tendent le plan : destination, données, personnes, temps, budget et continuité du service.

Distinguez une migration planifiée d’une interruption d’urgence. Un programme de migration sur six mois est peut-être commercialement réaliste mais inutile face à une panne immédiate. Le plan de reprise peut permettre au service de fonctionner tandis que le plan de sortie gère la dépendance à plus long terme. Demandez à la direction d’expliquer la relation plutôt que de présenter un document comme solution universelle.

1. Choisissez un service représentatif et définissez ce qui déclenche la sortie.
2. Exportez un échantillon contrôlé des données requises avec une protection appropriée.
3. Vérifiez que la destination peut lire et rapprocher les données, et non seulement stocker un fichier.
4. Vérifiez les droits d’accès, les licences, les compétences spécialisées et l’assistance à la transition prévue au contrat.
5. Mesurez le temps nécessaire et repérez les tâches manuelles, les dépendances oubliées et les hypothèses non testées.
6. Actualisez le coût, l’ordre des étapes, le responsable et la date du prochain test.

Il s’agit d’une séquence de test suggérée, non d’une obligation de faire une migration de production non contrôlée. Sélectionnez des tests sûrs adaptés au service et documentez leurs limites. Si seul un petit échantillon a été testé, indiquez-le. Si une alternative n’est pas prête, exposez clairement cette limite et montrez la décision de risque temporaire. Un statut vert ne doit jamais signifier simplement qu’un document existe.

8. Utilisez un dossier succinct pour le conseil, accompagné des décisions

Un dossier de supervision utile peut s’articuler autour de cinq questions : qu’est-ce qui a changé, quelles dépendances pourraient tomber en panne ensemble, quel niveau d’assurance a diminué, quelles options restent et quelle décision faut-il prendre ? Il s’agit d’une structure de rapport suggérée. La fréquence doit refléter les risques et les dispositifs de gouvernance de l’organisation, plutôt qu’un calendrier trimestriel universel de DORA inventé.

Incluez les quelques dépendances qui ont les conséquences les plus importantes pour l’activité, les changements récents qui les affectent, les actions importantes en retard et la prochaine décision pertinente concernant un contrat ou une migration. Expliquez les tendances. Une hausse du nombre de fournisseurs peut refléter un inventaire plus complet plutôt qu’une exposition accrue. Une baisse du nombre d’actions ouvertes peut refléter de véritables corrections ou un changement dans la manière de compter les actions.

• Reliez chaque risque significatif à un service métier qu’il concerne et à un dirigeant qui en répond.
• Distinguez une capacité de reprise testée d’un objectif ou d’une promesse du fournisseur.
• Affichez les exceptions contractuelles, les écarts d’assurance non résolus et leur ancienneté.
• Identifiez les changements de concentration et les hypothèses nécessitant de nouvelles preuves.
• Indiquez la décision demandée, les alternatives envisagées et la conséquence du report.

Utilisez le guide du tableau de bord DORA pour le conseil pour relier ces indicateurs à la supervision globale des risques TIC. Pour pratiquer, étudiez une dépendance aux conséquences importantes dans l’exercice sur table de réponse aux incidents pour le conseil. Le conseil devrait retrouver les mêmes noms de services, responsables des risques et hypothèses de reprise dans les trois discussions.

9. Préparez la prochaine discussion autour d’une dépendance réelle

Ne commencez pas par demander à chaque équipe de revoir tous ses rapports. Sélectionnez un service important et demandez un ensemble cohérent de preuves : évaluation de la fonction, entrée du registre, contrat, examen des éléments d’assurance, test de reprise et plan de sortie. Demandez aux différents responsables de les examiner ensemble. Les identifiants contradictoires, les hypothèses obsolètes et les actions sans responsable apparaîtront rapidement.

Transformez les constats en un bref plan d’amélioration. Commencez par attribuer les responsabilités manquantes et combler les lacunes de l’inventaire. Traitez ensuite les décisions urgentes liées à un renouvellement, une migration ou une exposition au risque. Améliorez enfin le suivi régulier pour éviter que les mêmes lacunes réapparaissent. Associez à chaque action un résultat vérifiable, plutôt qu’une simple consigne d’« améliorer la gouvernance ».

Les administrateurs doivent également partager une compréhension commune de leur rôle. Le guide sur les exigences DORA pour la formation du conseil explique comment relier l’apprentissage aux responsabilités de gouvernance. Le programme de BlueTeam Academy «Formation à la cybersécurité pour les conseils d’administration et les dirigeants dans le cadre de DORA» propose un parcours centré sur la décision pour les équipes dirigeantes d’entités financières relevant de DORA. Il n’évalue pas la conformité de l’organisation. Complétez la formation par les preuves, décisions et actions de suivi propres à vos services.