Les changements en matière de surveillance des tiers sont moins importants que ne le pensent les banques
Lorsque les régulateurs européens ont commencé à classer certains fournisseurs de TIC comme critiques dans le cadre de la DORA, certaines institutions financières y ont vu une bonne nouvelle : un fournisseur désormais soumis à une supervision directe semblait signifier que quelqu’un d’autre s’occupait de la conformité. C’est tout le contraire. Cette désignation place le fournisseur sous la loupe du régulateur, mais la responsabilité de l’institution ne change pas pour autant.
Cette distinction est plus importante que ce que la plupart des institutions imaginent au départ. La supervision directe d’un fournisseur critique permet aux régulateurs de visualiser la gestion des risques de ce fournisseur. Cela ne modifie en rien la responsabilité de l’institution si les services du fournisseur font défaut et qu’elle ne peut pas prouver qu’elle a géré la relation correctement. Cet article explique ce que la désignation de tiers critique change réellement pour les institutions financières, ce qui reste inchangé, et ce que cela implique pour la gestion du risque fournisseur à l’avenir.
Résumé Exécutif
La supervision réglementaire directe des fournisseurs tiers de TIC critiques est l’un des aspects les plus visibles de la DORA, et elle est souvent interprétée à tort comme un allègement des obligations de conformité pour les entités financières qui les utilisent. Ce n’est pas le cas. Ce mécanisme vise à gérer le risque de concentration systémique dans l’ensemble du secteur financier, via une collaboration continue entre les régulateurs et les fournisseurs les plus importants et interconnectés. Il ne dit rien sur la capacité d’une institution à évaluer, documenter et surveiller correctement son propre usage de ce fournisseur, ni sur la gestion des nombreux fournisseurs qui n’atteignent jamais le statut de critique. Pour les responsables risques et conformité, la conclusion concrète est que la gestion du risque tiers reste, en totalité, la responsabilité de l’institution, quel que soit le niveau de surveillance du fournisseur par d’autres parties.
Points clés à retenir
- La désignation de tiers critique place un fournisseur sous supervision réglementaire directe. Elle ne transfère pas la responsabilité de la gestion de cette relation fournisseur à l’institution.
- La liste des fournisseurs critiques évolue dans le temps. Des fournisseurs y sont ajoutés à mesure que leur empreinte grandit et peuvent en être retirés si elle diminue, ce qui rend toute évaluation statique du risque fournisseur rapidement obsolète.
- Le risque de concentration concerne autant les fournisseurs non désignés que les désignés. Un fournisseur qui n’est pas encore sur la liste critique peut tout de même représenter un point de défaillance unique pour les opérations d’une institution donnée.
- Les régulateurs attendent des preuves d’une gestion continue du risque tiers, et non une évaluation ponctuelle. Un registre des contrats et un historique du suivi doivent être maintenus en permanence.
- La désignation modifie la supervision du fournisseur, pas l’obligation de l’institution de prouver sa maîtrise. Les entités financières doivent toujours démontrer, preuves à l’appui, qu’elles comprennent et gèrent le risque qu’un tiers fait peser sur elles.
Ce que la désignation de tiers critique change réellement
Ce mécanisme vise à donner aux régulateurs une visibilité sur les fournisseurs dont la défaillance pourrait avoir des conséquences pour de nombreuses entités financières en même temps, selon des critères comme l’impact systémique, la concentration de la dépendance et la facilité de substitution des services.
La désignation concerne la concentration systémique, pas le risque fournisseur individuel
Un fournisseur est désigné comme critique parce qu’un grand nombre d’entités financières dépendent de lui d’une manière qui pourrait provoquer une perturbation sectorielle en cas de défaillance, et non parce que le contrat d’une institution en particulier présente un risque spécifique. L’exposition d’une institution à ce même fournisseur, selon son usage réel du service, est une question distincte à laquelle la désignation ne répond pas.
La liste évolue, donc l’évaluation du risque fournisseur ne peut pas être figée
Les fournisseurs désignés sont réévalués et la liste est régulièrement mise à jour, avec des ajouts ou des retraits selon l’évolution de leur empreinte. Une institution qui considère « notre fournisseur est-il sur la liste critique » comme une vérification ponctuelle risque de se retrouver avec une réponse obsolète, sans en avoir été informée.
Pourquoi votre propre responsabilité ne change pas
La supervision d’un fournisseur critique par les régulateurs et l’obligation pour une institution de gérer sa relation avec ce fournisseur sont deux responsabilités distinctes qui concernent le même prestataire.
La supervision directe du fournisseur ne concerne pas votre contrat
Lorsque les régulateurs interagissent directement avec un fournisseur critique, ils évaluent la gestion des risques de ce fournisseur de façon générale. Ils n’examinent pas le contrat spécifique d’une institution, ni son plan de sortie, ni la cartographie des impacts en cas de dégradation du service. Ce travail reste du ressort exclusif de l’institution.
Les fournisseurs non désignés présentent aussi un risque de concentration
Puisque la désignation s’opère au niveau du secteur financier, un fournisseur qui ne franchit pas les seuils systémiques peut tout de même constituer un point de défaillance unique pour l’institution qui en dépend. Le risque de concentration pertinent pour une institution est celui qui découle de ses propres dépendances, et non de celles du secteur dans son ensemble.
Ce que les régulateurs attendent réellement d’une institution
Qu’un fournisseur soit désigné critique ou non, les entités financières doivent entretenir une compréhension continue et documentée des tiers TIC sur lesquels elles s’appuient.
Un registre d’informations est un document évolutif, pas une photo à l’instant T
Tenir à jour un registre précis des contrats avec les fournisseurs TIC, en précisant les fonctions assurées par chacun, est une obligation permanente, et non un document à produire une fois pour un audit.
Le suivi doit être continu pour constituer une preuve
Un exercice de due diligence réalisé une seule fois à la signature du contrat ne prouve pas une gestion continue du risque. Les régulateurs attendent un suivi permanent, c’est-à-dire que l’institution doit conserver un historique des observations faites sur la performance du fournisseur dans la durée.
Construire une gestion du risque tiers qui résiste à l’examen
La bonne réaction face à la désignation de tiers critique n’est pas de relâcher la supervision des fournisseurs non désignés. Il s’agit de bâtir une capacité interne à suivre en continu quels fournisseurs assurent quelles fonctions, à quel point la dépendance est concentrée, et quelles preuves existent d’un suivi permanent.
Comment une Data Control Plane soutient la preuve continue du risque tiers
Prouver la maîtrise du risque TIC tiers suppose de pouvoir montrer, en continu, quelles données transitent par quels fournisseurs et canaux, qui y a accédé et dans quelles conditions, plutôt que de se fier aux seules déclarations du fournisseur.
La Data Control Plane de Kiteworks applique des contrôles zero-trust à chaque envoi, partage et accès sur tous les canaux, et consigne chaque action dans un journal d’audit inviolable et non limité qui s’intègre directement aux outils SIEM. Pour une institution qui gère le risque TIC tiers dans le cadre de la DORA, cela signifie disposer d’un historique continu et interrogeable de la circulation des données sensibles via les fournisseurs et canaux réellement utilisés, une preuve indépendante du statut de désignation de chaque fournisseur. L’architecture à locataire unique et les clés de chiffrement détenues par le client garantissent en outre que la maîtrise des échanges les plus sensibles ne dépend pas non plus du statut de supervision d’un tiers.
Les institutions qui souhaitent voir comment des preuves continues et multi-canaux soutiennent leurs obligations en matière de risque TIC tiers peuvent planifier une démo personnalisée pour découvrir comment cela s’applique à leur écosystème fournisseurs actuel.
Foire aux questions
Non. La désignation place le fournisseur sous supervision réglementaire directe, mais ne transfère aucune responsabilité à l’institution, qui reste pleinement responsable de la gestion de la relation et de la démonstration de sa maîtrise.
Ce mécanisme vise à traiter le risque de concentration systémique dans le secteur financier en donnant aux régulateurs une visibilité sur les fournisseurs les plus importants et interconnectés, sans évaluer le risque pour chaque institution individuellement.
La liste des fournisseurs critiques évolue régulièrement avec des ajouts ou des retraits, et les régulateurs exigent un suivi continu ainsi qu’un registre vivant des contrats, et non des instantanés figés.
Oui. Un fournisseur qui ne franchit pas les seuils systémiques du secteur peut tout de même représenter un point de défaillance unique pour l’institution qui en dépend, ce qui impose à celle-ci de gérer ce risque de manière autonome.