Gestion des risques des tiers TIC

L'article 28 de DORA impose aux entités financières d'intégrer les risques liés aux tiers TIC à leur cadre de gestion du risque TIC, avec une stratégie d'utilisation des services TIC régulièrement réexaminée par l'organe de direction. Le même article impose une gestion du risque durant toute la relation, de l'évaluation précontractuelle à la sortie.

Avant signature, l'entreprise évalue si le service soutient une fonction critique ou importante, si les conditions de surveillance et de résolution sont respectées et si le profil de risque du prestataire est acceptable. La signature ne met pas fin à ce suivi du risque. Le prestataire est surveillé selon les niveaux de service convenus, l'évaluation est renouvelée lorsque le service change et l'ensemble de l'accord est réexaminé lorsque la situation du prestataire évolue.

L'article 30 de DORA fixe le contenu du contrat selon deux niveaux d'exigence. Chaque contrat de service TIC comporte une description claire du service, les lieux de traitement et stockage des données, des dispositions de protection et disponibilité des données, une assistance en cas d'incident TIC, la coopération avec les autorités et des droits de résiliation assortis de préavis.

Un service soutenant une fonction critique ou importante ajoute des exigences: descriptions complètes des niveaux de service avec objectifs quantitatifs et qualitatifs, préavis et obligations déclaratives du prestataire, participation obligatoire aux formations de sensibilisation à la sécurité et de résilience de l'entreprise, droits illimités d'accès, d'inspection et d'audit, et stratégie de sortie. Cette distinction explique pourquoi l'évaluation de criticité détermine les modèles contractuels, et non l'inverse.

Pour une fonction critique ou importante, l'entreprise doit avoir une stratégie de sortie selon l'article 28(8), documentée, suffisamment testée et réexaminée périodiquement. Le test la distingue d'une clause: un plan jamais exercé ne démontre pas que l'entreprise pourrait partir.

Trois conditions déterminent si une sortie est effectivement réalisable en pratique. Les données doivent revenir dans un format exploitable, question contractuelle autant que technique. Une destination doit exister, autre prestataire ou capacité interne, d'où l'indication dans le registre des alternatives identifiées. Enfin, la transition doit durer suffisamment longtemps, ce qui se négocie avant signature, car cela ne s'obtient pas ensuite.

L'article 29 de DORA impose à l'entreprise envisageant un contrat pour une fonction critique ou importante d'évaluer si l'accord crée un risque de concentration TIC, notamment par la sous-traitance ou l'établissement du prestataire dans un pays tiers. La substituabilité entre en jeu: un prestataire irremplaçable crée une concentration, quelle que soit sa part de marché.

À l'échelle sectorielle, les autorités mènent cette analyse sur les registres d'informations. Pour l'entreprise, l'analyse dépasse donc son périmètre interne; la réponse concernant un prestataire peut changer parce que d'autres entreprises l'utilisent aussi. Externalisation et cloud dans les banques allemandes traite les aspects propres au cloud et le cadre juridique allemand.

La sous-traitance est autorisée sous certaines conditions que l'entreprise doit respecter. Le règlement délégué (UE) 2024/1773 de la Commission précise les obligations d'une entreprise lorsque son prestataire sous-traite un service TIC soutenant une fonction critique ou importante: évaluer la chaîne avant signature, imposer la notification des changements substantiels et conserver un droit d'opposition ou de résiliation lorsqu'un sous-traitant proposé est inacceptable.

La limite pratique tient aux informations dont l'entreprise dispose réellement sur cette chaîne. Une entreprise qui ne voit pas au-delà du premier prestataire ne peut pas l'évaluer; le contrat doit donc obliger ce prestataire à déclarer les sous-traitants soutenant la fonction et les lieux concernés. Le registre d'informations requiert ces mêmes données, raison pour laquelle les deux obligations sont traitées ensemble.

DORA a ajouté à la réglementation financière européenne une nouveauté: la surveillance des fournisseurs. Les autorités européennes de surveillance désignent les prestataires tiers critiques de services TIC et les surveillent directement, avec un superviseur principal par prestataire, le pouvoir de demander des informations et de mener des inspections, ainsi que celui d'émettre des recommandations.

Les autorités ont désigné les premiers prestataires tiers critiques de services TIC dans une liste de 19 noms. Pour une banque, la désignation de son prestataire cloud change peu ses obligations: le prestataire a désormais son propre superviseur, tandis que l'entité financière reste pleinement responsable de sa conformité et de sa résilience.

Un grand prestataire ne peut accueillir un audit distinct pour chaque client financier, ce que reconnaît l'article 30(3) de DORA en permettant l'exercice des droits d'audit et d'inspection par un audit mutualisé, où plusieurs entités financières auditent conjointement le prestataire, avec un périmètre convenu et un rapport commun.

L'entreprise conserve sa responsabilité quant au résultat de cet audit mutualisé. Un audit dont elle n'a pas contribué à définir le périmètre et dont le rapport ne couvre pas les services réellement utilisés ne satisfait son obligation que dans les limites de ce qui a été examiné. Les entreprises recourant aux audits mutualisés lisent donc le document de cadrage aussi attentivement que les conclusions.

La gestion des risques des tiers TIC consiste à maîtriser le risque pris par une entité financière lorsqu'elle confie certaines fonctions informatiques à autrui: évaluer le prestataire et la criticité de la fonction avant signature, intégrer au contrat les exigences de DORA, surveiller les performances et la chaîne de sous-traitance durant la relation, conserver une stratégie de sortie testée et évaluer la concentration. Ces obligations figurent aux articles 28 à 30 du règlement (UE) 2022/2554.

Une fonction dont la perturbation nuirait sensiblement aux performances financières de l'entreprise, à la solidité ou à la continuité de ses services et activités, ou au respect des conditions de son agrément. L'entreprise l'évalue elle-même, ce qui constitue un jugement qu'elle doit pouvoir défendre. Presque tout le régime découle de cette réponse: niveau contractuel, stratégie de sortie, transparence de la sous-traitance et précision de l'inscription au registre.

Pour les services TIC, largement oui; pour tout le reste, non. DORA encadre les risques des tiers TIC, tandis que les orientations EBA sur l'externalisation continuent de s'appliquer aux externalisations hors services TIC, comme un processus métier géré par une autre entreprise. En Allemagne, l'article 25b KWG et le module d'externalisation MaRisk subsistent en complément, et les banques appliquent donc les deux cadres au même portefeuille de fournisseurs.

DORA exige une fonction de suivi des accords et, en pratique, trois unités partagent les tâches: achats et juridique gèrent les contrats, le métier assume le service et sa criticité, et le contrôle du risque TIC remet les deux en question. L'organe de direction porte une responsabilité qu'il ne peut pas déléguer. Le dispositif échoue lorsque les achats gèrent la liste des fournisseurs sans que personne ne gère le risque.