Aristotelis Zervos
Aristotelis Zervos, directeur de la rédaction de 2B Advice, allie expertise juridique et journalistique en Protection des données, informatique-Conformité et la réglementation de l'IA.
Depuis janvier, le Digital Operational Resilience Act (DORA) est appliqué. En juillet, les autorités de surveillance européennes EBA, ESMA et EIOPA ont présenté un guide pour la surveillance des fournisseurs de services TIC tiers critiques. L'accent est mis en particulier sur les fournisseurs tiers critiques de technologies de l'information et de la communication (Critical Third-Party Provider, CTPP).
Objectif et pertinence de la surveillance
Le guide DORA concrétise les pouvoirs de surveillance des CTPP par les autorités de surveillance européennes. Il s'inscrit dans l'approche réglementaire globale de l'Union visant à renforcer la résilience numérique du secteur financier. L'objectif central est de réduire structurellement la vulnérabilité des marchés financiers aux défaillances des TIC (technologies de l'information et de la communication) et aux cyber-risques. Pour ce faire, le guide poursuit plusieurs objectifs interdépendants :
Il s'agit d'identifier et de minimiser à un stade précoce les risques systémiques résultant de la dépendance croissante de nombreuses entreprises financières vis-à-vis d'un petit nombre de fournisseurs de services TIC performants. La problématique dite du risque de concentration, c'est-à-dire la dépendance critique de nombreux acteurs du marché vis-à-vis de certains fournisseurs, comporte des dangers considérables pour la stabilité de l'ensemble du système financier. Le recensement et l'évaluation prudentiels de ces risques dans le cadre de DORA doivent permettre de rendre ces risques de concentration plus transparents et plus faciles à gérer.
Il s'agit également de contribuer à la stabilité intersectorielle du marché financier européen. La définition et les critères d'évaluation uniformes des fournisseurs de services tiers critiques créent non seulement une comparabilité réglementaire, mais aussi une plateforme pour des mesures coordonnées. Cela contribue à la cohérence des mesures de surveillance dans tous les sous-secteurs.
Enfin, le renforcement de la résilience opérationnelle des entreprises financières elles-mêmes est une préoccupation centrale. Les exigences de DORA ont un effet complémentaire sur les systèmes internes de gestion des risques TIC existants des FE (Financial Entity). La surveillance directe des CTPP ne signifie pas que les entreprises financières peuvent se dégager de leur responsabilité. Au contraire, les connaissances externes doivent leur permettre de mieux prendre leurs propres décisions en fonction des risques.
Concrètement, cela signifie que la surveillance des CTPP vient compléter la surveillance existante des établissements financiers et ne la remplace pas. Conformité-Responsable À l'avenir, il faudra surveiller de près ces deux niveaux – la propre organisation et ses dépendances vis-à-vis de tiers critiques – en veillant à ce qu'ils soient étroitement liés.
Structure de gouvernance de la surveillance DORA
La structure de gouvernance de la surveillance DORA repose sur une architecture organisationnelle à plusieurs niveaux et étroitement interconnectée, qui doit garantir à la fois la coordination intersectorielle et l'efficacité opérationnelle. Trois acteurs centraux sont au cœur de cette structure :
Les soi-disant Lead Overseer (LO) jouent le rôle de chef de file dans la surveillance des fournisseurs de services tiers critiques. Chacune des trois autorités européennes de surveillance (EBA, ESMA, EIOPA) agit en tant que LO pour les CTPP qui sont principalement actifs dans leur secteur financier respectif. La détermination se fait sur la base des totaux de bilan agrégés des entreprises financières concernées qui font appel aux services de ce prestataire tiers. Le LO est responsable de la planification, de la mise en œuvre et du suivi des mesures de surveillance à l'égard du prestataire concerné.
Les activités de surveillance sont assurées par Équipes d'examen conjointes (JET) de manière opérationnelle. Ces équipes sont composées d'experts des AES ainsi que des autorités de surveillance nationales compétentes. Elles apportent une expertise à la fois technologique et réglementaire. Les JET mènent des enquêtes, évaluent les risques et formulent des recommandations. En fonction de la nature des risques, leur travail peut être régulier ou ponctuel.
La coordination stratégique est assurée par le Réseau de supervision conjoint (JON) et le Forum de supervision (OF). Le JON sert à la coordination entre les ESA (European Supervisory Authorities) concernées et garantit le partage des informations sur les risques et les évolutions entre les différents secteurs. L'Oversight Forum, quant à lui, fait office d'organe consultatif réunissant des représentants de haut niveau des autorités de surveillance européennes et nationales afin de discuter des évolutions transversales et d'assurer l'harmonisation des pratiques de surveillance.
Cette structure de gouvernance garantit une surveillance coordonnée, transparente et axée sur les risques des CTPP et favorise un échange efficace entre les niveaux européen et national. Pour Conformité-Responsable Cela signifie que les exigences réglementaires ne proviennent pas d'une seule source, mais qu'il faut tenir compte de l'interaction entre plusieurs acteurs.
Aperçu des instruments de surveillance DORA
1. désignation
Un fournisseur tiers ICT est classé comme critique après un processus d'évaluation en deux étapes sur la base de critères quantitatifs et qualitatifs (notamment l'importance systémique, la substituabilité, la structure de la clientèle). Le classement est effectué chaque année sur la base des données enregistrées auprès des autorités de surveillance. Les fournisseurs qui ne sont pas répertoriés peuvent demander une réévaluation volontaire (opt-in).
2. évaluation des risques et planification de la surveillance
Un profil de risque est établi chaque année dans le cadre de l'Oversight Risk Assessment Process (ORAP). Il en découle un plan de surveillance individuel ainsi qu'un plan pluriannuel sectoriel.
3. examens
Celles-ci comprennent :
- Suivi continu: Interactions régulières, rapports périodiques, transmissions de données et réunions.
- Enquêtes généralesles contrôles spéciaux thématiques ou basés sur les risques. Il existe notamment des audits horizontaux (couvrant plusieurs fournisseurs) ou des audits de suivi.
- Inspections: Inspections approfondies, y compris sur le terrain, nécessitant des ressources importantes.
4. demandes d'informations
Les enquêtes peuvent être lancées par des demandes d'information informelles (Simple RfI) ou formelles (Decision RfI). En cas de refus ou de réponse erronée à une Decision RfI, des sanctions sont encourues.
5. recommandations & suivi
Sur la base des examens, des recommandations non contraignantes sont émises. Les CTPP doivent les accepter dans un délai de 60 jours ou présenter un refus motivé. En cas de refus non motivé, une annonce publique de non-respect peut être faite. En outre, des mesures opérationnelles peuvent être prises à l'encontre des FE par le biais des superviseurs nationaux, comme l'ordre de mettre fin à la coopération avec le CTPP concerné.
Dimension internationale de la supervision
La surveillance peut, sous certaines conditions, s'étendre à des pays tiers, dans la mesure où il existe dans ces pays des succursales de CTPP qui fournissent des prestations à des entreprises financières de l'UE. Il faut notamment que l'autorité compétente du pays concerné donne son accord. État tiers ainsi que les Consentement du fournisseur concerné. Les autorités de surveillance européennes s'efforcent à cet effet de conclure des accords de coopération (Memorandum of Understanding, MoU) avec des pays tiers.
Conseil de lecture : DORA s'applique à partir de janvier 2025 - ces entreprises sont concernées
Pertinence de la conformité pour la pratique
La pertinence pratique du guide DORA se déploie à deux niveaux centraux : d'une part, auprès des entreprises financières qui font appel à des prestataires de services TIC critiques. Et d'autre part, chez les prestataires de services tiers eux-mêmes, qui seront à l'avenir soumis à la surveillance européenne.
Pour les établissements financiers, il est essentiel d'évaluer systématiquement les CTPP auxquels ils font appel sous l'angle de la résilience numérique. Les informations recueillies et transmises dans le cadre de la surveillance des CTPP au titre de la directive DORA constituent à cet égard un indicateur précieux. Conformité-Responsable doivent vérifier si les contrats d'externalisation existants répondent toujours aux futures exigences réglementaires et si les mécanismes de contrôle et d'escalade prévus par ces contrats sont adaptés pour traiter de manière appropriée les recommandations ou les sanctions à l'encontre des CTPP. De même, ils devraient se préparer de manière proactive aux répercussions éventuelles découlant des recommandations de la DORA adressées aux CTPP, par exemple lorsque la poursuite de l'utilisation de certains services est remise en question.
Les fournisseurs tiers doivent quant à eux adapter leurs structures internes de gouvernance et de gestion des risques de manière ciblée aux nouvelles exigences. La préparation organisationnelle aux examens par les Joint Examination Teams (JETs) et la mise en place d'une interface de supervision efficace sont des tâches essentielles. Cela ne comprend pas seulement les conditions techniques et documentaires, mais aussi l'établissement d'une présence juridiquement et opérationnellement solide au sein de l'UE. Il est particulièrement important de disposer d'une interface opérationnelle avec les autorités de surveillance, capable de réagir rapidement et de manière contraignante aux demandes d'information, aux recommandations et aux enquêtes.
Conclusion : Guide DORA sur la surveillance des CTPP
L'architecture financière européenne se caractérise de plus en plus par des infrastructures numériques dont la stabilité, la sécurité et la sûreté sont essentielles. Disponibilité ont un impact direct sur le fonctionnement du marché. DORA intervient précisément à cette interface : en contrôlant de manière ciblée les prestataires tiers particulièrement critiques et en favorisant la résilience intersectorielle. Parallèlement, les pratiques de surveillance nationales existantes seront consolidées et intégrées dans un système cohérent à l'échelle de l'Union.
Le guide DORA sur la surveillance du CTPP explique comment les dispositions théoriques du règlement sont traduites en mécanismes de contrôle concrets, en évaluations des risques, en mesures et en étapes d'escalade. Il crée ainsi TransparenceLa planification et la comparabilité pour toutes les parties prenantes.
En fin de compte, DORA n'est pas seulement une question de réglementation. ConformitéIl s'agit de garantir des services numériques stables et fiables pour l'ensemble du secteur financier. La mise en œuvre cohérente des nouveaux mécanismes de surveillance contribuera donc de manière décisive à la souveraineté et à la sécurité numériques au sein de l'UE.
Source : Guide de supervision DORA
Aristotelis Zervos est directeur éditorial chez 2B Advice, juriste et journaliste avec un savoir-faire approfondi en matière de protection des données, RGPD, informatique-Conformité et la gouvernance de l'IA. Il publie régulièrement des articles approfondis sur la réglementation de l'IA, RGPD-Conformité et la gestion des risques. Pour en savoir plus sur lui, rendez-vous sur son Page du profil de l'auteur.
German 
English 
Italian 
French