Que sont les prestataires tiers critiques de TIC?
Les prestataires tiers critiques de TIC, abrégés CTPP, sont des entreprises technologiques formellement désignées par les autorités européennes de surveillance au titre de DORA, car de nombreuses entités financières dépendent de leurs services et une défaillance majeure pourrait affecter le système financier. La désignation concerne le prestataire au niveau de l'UE. Une banque décide séparément si chaque service contracté soutient l'une de ses fonctions critiques ou importantes.
Prestataires tiers critiques de TIC en bref
| Terme | Prestataires tiers critiques de TIC |
|---|---|
| Sens | Les prestataires tiers critiques de TIC, abrégés CTPP, sont des entreprises technologiques formellement désignées par les autorités européennes de surveillance au titre de DORA, car de nombreuses entités financières dépendent de leurs services et une défaillance majeure pourrait affecter le système financier. La désignation concerne le prestataire au niveau de l'UE. Une banque décide séparément si chaque service contracté soutient l'une de ses fonctions critiques ou importantes. |
| Usage bancaire | Le cadre traite le risque de concentration entre banques, assureurs, entreprises de paiement et infrastructures de marché. Il couvre plus que les plateformes cloud: télécoms, centres de données, données financières, logiciels d'entreprise et informatique gérée peuvent aussi devenir d'importance systémique. Les banques utilisent la désignation publiée dans leur inventaire des prestataires, mais la classification des contrats suit toujours la fonction que soutient le service concerné. |
| Risque principal | Une erreur courante consiste à traiter la surveillance de l'UE comme un substitut à la gestion des fournisseurs. L'entité financière reste responsable de la due diligence, des contrats, du suivi, des incidents, de la concentration et de la sortie. Une autre erreur consiste à qualifier de critique chaque service d'un groupe désigné. La banque a besoin d'une évaluation au niveau du service qui retrace le processus soutenu et les sous-traitants avant d'appliquer les clauses contractuelles supplémentaires. |
| Ensemble de règles | Les articles 31 à 44 de DORA établissent la désignation et la surveillance. Les articles 28 à 30 régissent le risque lié aux tiers et les contrats de l'entité financière. La première liste a été publiée en novembre 2025 et est mise à jour chaque année. Le cadre ne supprime pas la supervision nationale des banques qui achètent les services. |
| Page détaillée | Guide détaillé |
Comment fonctionnent les prestataires tiers critiques de TIC?
Les prestataires tiers critiques de TIC, abrégés CTPP, sont des entreprises technologiques formellement désignées par les autorités européennes de surveillance au titre de DORA, car de nombreuses entités financières dépendent de leurs services et une défaillance majeure pourrait affecter le système financier. La désignation concerne le prestataire au niveau de l'UE. Une banque décide séparément si chaque service contracté soutient l'une de ses fonctions critiques ou importantes.
Les AES utilisent comme critères de désignation l'impact systémique, l'importance des entités financières dépendantes, le recours pour des fonctions critiques et la substituabilité. Une autorité devient superviseur principal et peut demander des informations, enquêter, inspecter et émettre des recommandations. Des équipes d'examen conjointes soutiennent le travail. Le prestataire paie des frais de surveillance, mais la désignation n'est pas un agrément de services financiers.
Pourquoi les prestataires tiers critiques de TIC comptent pour les banques?
Le cadre traite le risque de concentration entre banques, assureurs, entreprises de paiement et infrastructures de marché. Il couvre plus que les plateformes cloud: télécoms, centres de données, données financières, logiciels d'entreprise et informatique gérée peuvent aussi devenir d'importance systémique. Les banques utilisent la désignation publiée dans leur inventaire des prestataires, mais la classification des contrats suit toujours la fonction que soutient le service concerné.
Quels risques et choix de conception accompagnent les prestataires tiers critiques de TIC?
Une erreur courante consiste à traiter la surveillance de l'UE comme un substitut à la gestion des fournisseurs. L'entité financière reste responsable de la due diligence, des contrats, du suivi, des incidents, de la concentration et de la sortie. Une autre erreur consiste à qualifier de critique chaque service d'un groupe désigné. La banque a besoin d'une évaluation au niveau du service qui retrace le processus soutenu et les sous-traitants avant d'appliquer les clauses contractuelles supplémentaires.
Quelles règles et normes s'appliquent aux prestataires tiers critiques de TIC?
Les articles 31 à 44 de DORA établissent la désignation et la surveillance. Les articles 28 à 30 régissent le risque lié aux tiers et les contrats de l'entité financière. La première liste a été publiée en novembre 2025 et est mise à jour chaque année. Le cadre ne supprime pas la supervision nationale des banques qui achètent les services.
Prestataires tiers critiques de TIC en Allemagne, en Autriche et en Suisse
La BaFin et la BCE supervisent des utilisateurs allemands, la FMA supervise des utilisateurs autrichiens et les autorités nationales donnent suite aux constats du superviseur principal de l'UE. La Suisse est hors de DORA, donc la FINMA applique les attentes suisses en matière d'externalisation et de risque opérationnel. Francfort accueille les autorités sœurs de l'EBA, l'EIOPA et l'AMLA, ainsi que la BCE, et concentre plusieurs fonctions européennes de supervision près de grands utilisateurs de services TIC.
À propos de Finance Loop: prestataires tiers critiques de TIC
Finance Loop réunit des professionnels de la technologie bancaire, des paiements, des marchés de capitaux et de la supervision qui travaillent sur les prestataires tiers critiques de TIC. À Francfort, les décisions techniques rencontrent les systèmes de la BCE, de la Bundesbank, de Deutsche Börse et des banques qui y siègent.
La page détaillée sur les prestataires tiers critiques de TIC et les événements Finance Loop relient la définition aux projets et aux praticiens du secteur financier.