Guide DORA sur la surveillance des fournisseurs tiers critiques (CTPP)

Les autorités de surveillance européennes EBA, ESMA et EIOPA ont publié un guide DORA sur la surveillance des prestataires tiers critiques.
Catégories :

Depuis janvier, le Digital Operational Resilience Act (DORA) est appliqué. En juillet, les autorités de surveillance européennes EBA, ESMA et EIOPA ont présenté un guide pour la surveillance des fournisseurs de services TIC tiers critiques. L'accent est mis en particulier sur les fournisseurs tiers critiques de technologies de l'information et de la communication (Critical Third-Party Provider, CTPP).

Objectif et pertinence de la surveillance

Le guide DORA concrétise les pouvoirs de surveillance des CTPP par les autorités de surveillance européennes. Il s'inscrit dans l'approche réglementaire globale de l'Union visant à renforcer la résilience numérique du secteur financier. L'objectif central est de réduire structurellement la vulnérabilité des marchés financiers aux défaillances des TIC (technologies de l'information et de la communication) et aux cyber-risques. Pour ce faire, le guide poursuit plusieurs objectifs interdépendants :

Il s'agit d'identifier et de minimiser à un stade précoce les risques systémiques résultant de la dépendance croissante de nombreuses entreprises financières vis-à-vis d'un petit nombre de fournisseurs de services TIC performants. La problématique dite du risque de concentration, c'est-à-dire la dépendance critique de nombreux acteurs du marché vis-à-vis de certains fournisseurs, comporte des dangers considérables pour la stabilité de l'ensemble du système financier. Le recensement et l'évaluation prudentiels de ces risques dans le cadre de DORA doivent permettre de rendre ces risques de concentration plus transparents et plus faciles à gérer.

Il s'agit également de contribuer à la stabilité intersectorielle du marché financier européen. La définition et les critères d'évaluation uniformes des fournisseurs de services tiers critiques créent non seulement une comparabilité réglementaire, mais aussi une plateforme pour des mesures coordonnées. Cela contribue à la cohérence des mesures de surveillance dans tous les sous-secteurs.

Enfin, le renforcement de la résilience opérationnelle des entreprises financières elles-mêmes est une préoccupation centrale. Les exigences de DORA ont un effet complémentaire sur les systèmes internes de gestion des risques TIC existants des FE (Financial Entity). La surveillance directe des CTPP ne signifie pas que les entreprises financières peuvent se dégager de leur responsabilité. Au contraire, les connaissances externes doivent leur permettre de mieux prendre leurs propres décisions en fonction des risques.

Dans la pratique, cela signifie que la surveillance des CTPP complète la surveillance existante des entreprises financières et ne la remplace pas. Les responsables de la conformité devront à l'avenir garder un œil sur les deux niveaux, leur propre organisation ainsi que ses dépendances vis-à-vis de tiers critiques, et ce de manière étroitement imbriquée.

Structure de gouvernance de la surveillance DORA

La structure de gouvernance de la surveillance DORA repose sur une architecture organisationnelle à plusieurs niveaux et étroitement interconnectée, qui doit garantir à la fois la coordination intersectorielle et l'efficacité opérationnelle. Trois acteurs centraux sont au cœur de cette structure :

Les soi-disant Lead Overseer (LO) jouent le rôle de chef de file dans la surveillance des fournisseurs de services tiers critiques. Chacune des trois autorités européennes de surveillance (EBA, ESMA, EIOPA) agit en tant que LO pour les CTPP qui sont principalement actifs dans leur secteur financier respectif. La détermination se fait sur la base des totaux de bilan agrégés des entreprises financières concernées qui font appel aux services de ce prestataire tiers. Le LO est responsable de la planification, de la mise en œuvre et du suivi des mesures de surveillance à l'égard du prestataire concerné.

Les activités de surveillance sont assurées par Équipes d'examen conjointes (JET) de manière opérationnelle. Ces équipes sont composées d'experts des AES ainsi que des autorités de surveillance nationales compétentes. Elles apportent une expertise à la fois technologique et réglementaire. Les JET mènent des enquêtes, évaluent les risques et formulent des recommandations. En fonction de la nature des risques, leur travail peut être régulier ou ponctuel.

La coordination stratégique est assurée par le Réseau de supervision conjoint (JON) et le Forum de supervision (OF). Le JON sert à la coordination entre les ESA (European Supervisory Authorities) concernées et garantit le partage des informations sur les risques et les évolutions entre les différents secteurs. L'Oversight Forum, quant à lui, fait office d'organe consultatif réunissant des représentants de haut niveau des autorités de surveillance européennes et nationales afin de discuter des évolutions transversales et d'assurer l'harmonisation des pratiques de surveillance.

Cette structure de gouvernance garantit un suivi concerté, transparent et axé sur les risques des CTPP et favorise un échange efficace entre les niveaux européen et national. Pour les responsables de la conformité, cela signifie que les exigences réglementaires ne résultent pas d'une seule source, mais que l'interaction entre plusieurs acteurs doit être prise en compte.

Aperçu des instruments de surveillance DORA

1. désignation

Un fournisseur tiers ICT est classé comme critique après un processus d'évaluation en deux étapes sur la base de critères quantitatifs et qualitatifs (notamment l'importance systémique, la substituabilité, la structure de la clientèle). Le classement est effectué chaque année sur la base des données enregistrées auprès des autorités de surveillance. Les fournisseurs qui ne sont pas répertoriés peuvent demander une réévaluation volontaire (opt-in).

2. évaluation des risques et planification de la surveillance

Un profil de risque est établi chaque année dans le cadre de l'Oversight Risk Assessment Process (ORAP). Il en découle un plan de surveillance individuel ainsi qu'un plan pluriannuel sectoriel.

3. examens

Celles-ci comprennent :

  • Suivi continu: Interactions régulières, rapports périodiques, transmissions de données et réunions.
  • Enquêtes généralesles contrôles spéciaux thématiques ou basés sur les risques. Il existe notamment des audits horizontaux (couvrant plusieurs fournisseurs) ou des audits de suivi.
  • Inspections: Inspections approfondies, y compris sur le terrain, nécessitant des ressources importantes.

4. demandes d'informations

Les enquêtes peuvent être lancées par des demandes d'information informelles (Simple RfI) ou formelles (Decision RfI). En cas de refus ou de réponse erronée à une Decision RfI, des sanctions sont encourues.

5. recommandations & suivi

Sur la base des examens, des recommandations non contraignantes sont émises. Les CTPP doivent les accepter dans un délai de 60 jours ou présenter un refus motivé. En cas de refus non motivé, une annonce publique de non-respect peut être faite. En outre, des mesures opérationnelles peuvent être prises à l'encontre des FE par le biais des superviseurs nationaux, comme l'ordre de mettre fin à la coopération avec le CTPP concerné.

Dimension internationale de la supervision

La surveillance peut, sous certaines conditions, s'étendre à des pays tiers, dans la mesure où il existe dans ces pays des succursales de CTPP qui fournissent des prestations à des entreprises financières de l'UE. Il faut notamment que l'autorité compétente du pays concerné donne son accord. État tiers ainsi que les Consentement du fournisseur concerné. Les autorités de surveillance européennes s'efforcent à cet effet de conclure des accords de coopération (Memorandum of Understanding, MoU) avec des pays tiers.

Conseil de lecture : DORA s'applique à partir de janvier 2025 - ces entreprises sont concernées

Pertinence de la conformité pour la pratique

La pertinence pratique du guide DORA se déploie à deux niveaux centraux : d'une part, auprès des entreprises financières qui font appel à des prestataires de services TIC critiques. Et d'autre part, chez les prestataires de services tiers eux-mêmes, qui seront à l'avenir soumis à la surveillance européenne.

Il est essentiel pour les entreprises financières d'évaluer systématiquement les CTPP qu'elles engagent du point de vue de la résilience numérique. Les informations obtenues et transmises sur les CTPP dans le cadre de la surveillance DORA constituent un point de repère précieux à cet égard. Les responsables de la conformité doivent vérifier si les contrats d'externalisation existants répondent encore aux attentes réglementaires futures et si les mécanismes de contrôle et d'escalade convenus contractuellement sont adaptés pour adresser de manière adéquate les recommandations ou les sanctions à l'encontre des CTPP. De même, ils doivent se préparer de manière proactive aux conséquences éventuelles des recommandations DORA adressées aux CTPP, par exemple si la poursuite de l'utilisation de certains services est remise en question.

Les fournisseurs tiers doivent quant à eux adapter leurs structures internes de gouvernance et de gestion des risques de manière ciblée aux nouvelles exigences. La préparation organisationnelle aux examens par les Joint Examination Teams (JETs) et la mise en place d'une interface de supervision efficace sont des tâches essentielles. Cela ne comprend pas seulement les conditions techniques et documentaires, mais aussi l'établissement d'une présence juridiquement et opérationnellement solide au sein de l'UE. Il est particulièrement important de disposer d'une interface opérationnelle avec les autorités de surveillance, capable de réagir rapidement et de manière contraignante aux demandes d'information, aux recommandations et aux enquêtes.

Conclusion : Guide DORA sur la surveillance des CTPP

L'architecture financière européenne se caractérise de plus en plus par des infrastructures numériques dont la stabilité, la sécurité et la sûreté sont essentielles. Disponibilité ont un impact direct sur le fonctionnement du marché. DORA intervient précisément à cette interface : en contrôlant de manière ciblée les prestataires tiers particulièrement critiques et en favorisant la résilience intersectorielle. Parallèlement, les pratiques de surveillance nationales existantes seront consolidées et intégrées dans un système cohérent à l'échelle de l'Union.

Le guide DORA sur la surveillance du CTPP explique comment les dispositions théoriques du règlement sont traduites en mécanismes de contrôle concrets, en évaluations des risques, en mesures et en étapes d'escalade. Il crée ainsi TransparenceLa planification et la comparabilité pour toutes les parties prenantes.

En fin de compte, DORA n'est pas seulement une question de réglementation. ConformitéIl s'agit de garantir des services numériques stables et fiables pour l'ensemble du secteur financier. La mise en œuvre cohérente des nouveaux mécanismes de surveillance contribuera donc de manière décisive à la souveraineté et à la sécurité numériques au sein de l'UE.

Source : Guide de supervision DORA

Prendre contact
Les tags :
, , ,
Partager ce post :

Catégories populaires

Bulletin d'information

Abonnez-vous à notre lettre d'information sur la protection des données pour recevoir les dernières mises à jour, conseils et connaissances directement dans votre boîte de réception.
S'abonner

Derniers messages