Contrôle qualité du registre DORA 2027 : 12 contrôles avant la remise

Réponse rapide — Le contrôle du registre DORA 2027 doit couvrir le périmètre, les identifiants, les relations, les doublons, les dates et les chaînes de sous-traitance. La version est prête lorsque les anomalies bloquantes sont corrigées, les anomalies majeures arbitrées, les contrôles rejoués et la validation finale rattachée à une version précise du registre.

Bloc de contrôle	Responsable principal	Preuve attendue
Préparation et gel du registre	Reporting réglementaire / Conformité	Version horodatée et matrice de contrôle
Couverture du périmètre	Conformité / Achats	Rapprochements bidirectionnels
Intégrité des données	DSI / Données	Rapport d’unicité, de relations et de dates
Prestataires et sous-traitance	Achats / TPRM	Référentiel canonique et analyse des chaînes
Traitement des anomalies	Risques / Conformité	Journal, résultats des retests et approbation

Comment préparer un contrôle qualité reproductible ?

Le RoI (registre d'information) est le recensement structuré et lisible par machine des arrangements contractuels portant sur des services TIC fournis par des prestataires tiers. Son contrôle doit commencer sur une version figée, et non sur un fichier encore modifié par plusieurs contributeurs.

Figer la version, le périmètre et la date de référence du registre

Conserver dans un dossier de contrôle :

• le fichier contrôlé, son nom de version, son horodatage et, si possible, son empreinte numérique ;
• la date de référence des données ;
• le périmètre juridique retenu, y compris le traitement des succursales et entités du groupe ;
• les extractions sources horodatées : contrats, achats, comptabilité fournisseurs, référentiel tiers, cartographie des fonctions et catalogue de services TIC ;
• les règles de transformation appliquées entre ces sources et le registre.

Les modèles et instructions annexés au règlement d’exécution (UE) 2024/2956 constituent le référentiel de structure. Les règles internes ajoutées pour détecter une incohérence doivent être identifiées comme telles : elles ne deviennent pas des exigences officielles.

Construire la matrice des 12 contrôles et définir les critères de réussite

Une ligne de matrice doit comporter : identifiant du contrôle, règle, population testée, source comparée, volume source, volume registre, nombre d’anomalies, criticité, exécutant, date et lien vers la preuve.

Définir avant l’exécution le résultat attendu : absence de clé orpheline, justification de chaque différence de périmètre ou absence de doublon non arbitré, par exemple. Le support peut être un tableur gouverné, un outil de qualité de données ou une solution dédiée au registre d'information. L’outil ne dispense ni de l’arbitrage métier ni des validations techniques propres au canal de remise.

Les contrôles de complétude et de couverture du périmètre

Pour chacun des quatre contrôles suivants, produire une anti-jointure dans les deux sens. Le tableau de résultat doit distinguer les volumes « source », « registre », « appariés », « absents du registre » et « absents de la source ».

Contrôle 1 — Rapprocher les entités recensées avec le périmètre juridique et les succursales applicables

Comparer les entités du registre au référentiel juridique validé pour la remise. Toute entité manquante, entité sortie du périmètre ou succursale traitée différemment doit recevoir une justification nominative. Un simple écart de dénomination doit être distingué d’une réelle absence.

Contrôle 2 — Rapprocher les arrangements contractuels avec la base contrats et les données des achats

Apparier les contrats et commandes portant sur des services TIC avec les arrangements contractuels du registre. Examiner séparément les contrats-cadres, avenants, commandes rattachées et contrats arrivés à échéance autour de la date de référence. L’absence de facture ne suffit pas à exclure un contrat actif.

Contrôle 3 — Rapprocher les prestataires avec le référentiel fournisseurs et la comptabilité fournisseurs

Comparer les prestataires déclarés au référentiel fournisseurs et aux comptes tiers utilisés en comptabilité. Une facture peut être émise par un revendeur, une centrale d’achat ou une autre entité du groupe : l’écart doit alors être expliqué sans remplacer automatiquement le prestataire TIC par l’émetteur de la facture.

Contrôle 4 — Rapprocher les fonctions et services TIC avec la cartographie des fonctions et le catalogue de services

Vérifier que les fonctions utilisées dans le registre existent dans la cartographie approuvée et que leur qualification est alignée, notamment pour les fonctions critiques ou importantes. Dans l’autre sens, rechercher les fonctions soutenues par un service TIC tiers mais sans rattachement dans le registre.

Les contrôles de cohérence entre modèles et sources internes

Contrôle 5 — Tester l’unicité, la stabilité et le format des identifiants

Tester chaque identifiant dans son domaine : unicité pour un même objet, absence de réutilisation entre objets distincts, format conforme aux instructions applicables et stabilité entre deux versions. Une modification d’identifiant doit être reliée à une table de correspondance, faute de quoi le suivi des corrections devient impossible.

Contrôle 6 — Vérifier l’intégrité des relations entre entités, contrats, prestataires, services et fonctions

Chaque référence doit pointer vers une ligne parente existante. Isoler les contrats sans entité, les services sans arrangement contractuel, les rattachements à un prestataire absent et les fonctions référencées sous un identifiant inconnu. Le rapport doit afficher la clé orpheline, le modèle d’origine et la relation attendue.

Contrôle 7 — Détecter les doublons exacts et les doublons probables

Rechercher d’abord les lignes strictement identiques, puis les couples ou triplets répétés, par exemple contrat–prestataire–service. Compléter par une détection probable après normalisation des raisons sociales, espaces, accents et noms commerciaux. Une similarité ne doit pas déclencher une fusion automatique : elle ouvre une anomalie à arbitrer.

Contrôle 8 — Repérer les dates contractuelles ou opérationnelles incompatibles

Tester les chronologies : début postérieur à la fin, résiliation antérieure au début, contrat déclaré actif malgré une fin antérieure à la date de référence, ou dates différentes de la source contractuelle. Les reconductions, avenants et périodes transitoires doivent être documentés avant correction.

Contrôle 9 — Comparer les attributs structurants avec les contrats, les achats, la comptabilité et la cartographie des fonctions

Définir une source maîtresse par attribut, puis comparer les valeurs : entité contractante dans le contrat, identité comptable dans le référentiel fournisseurs, qualification de la fonction dans la cartographie approuvée. Sans ordre de préséance entre sources, une correction peut simplement déplacer l’incohérence.

Le guide du registre d'information DORA peut servir de rappel du cadre ; les écarts fréquemment bloquants sont détaillés dans l’analyse des erreurs de remise observées en 2025.

Les contrôles sur les prestataires et la sous-traitance

Contrôle 10 — Réconcilier les identités, alias et entités de groupe des prestataires

Créer un référentiel canonique reliant raison sociale, identifiant légal disponible, nom commercial, entité du groupe et code fournisseur interne. Ne pas fusionner deux personnes morales au seul motif qu’elles appartiennent au même groupe. Les prestataires intragroupe doivent également être identifiés sans ambiguïté.

Contrôle 11 — Détecter les maillons orphelins, les sauts de rang et les boucles dans les chaînes de sous-traitance

Représenter chaque chaîne sous forme de relations parent-enfant. Pour chaque rang n, vérifier l’existence du rang n-1, l’absence de boucle et la continuité jusqu’au prestataire directement contracté. Un sous-traitant sans parent, un saut de rang ou un prestataire se référençant indirectement lui-même constitue une anomalie de structure.

Contrôle 12 — Vérifier la couverture et le rattachement des chaînes aux services et fonctions concernés

Chaque chaîne déclarée doit renvoyer à un service, un arrangement contractuel, un prestataire et une entité utilisatrice présents dans le registre. Pour les services soutenant une fonction critique ou importante, rapprocher les chaînes des informations obtenues dans les contrats, questionnaires fournisseurs et diligences TPRM. Une chaîne vide n’est pas automatiquement erronée, mais elle doit être expliquée lorsque les sources internes indiquent une sous-traitance.

Comment traiter, valider et tracer les anomalies avant la remise ?

Qualifier chaque anomalie selon son impact et désigner un responsable de correction

Tenir un journal comprenant : identifiant, contrôle d’origine, lignes concernées, description, criticité, responsable, échéance, décision, preuve, date du retest et statut.

Une grille interne peut retenir :

• bloquante : empêche la production technique ou rompt une relation nécessaire ;
• majeure : affecte le périmètre, une fonction critique ou importante, un prestataire ou une chaîne de sous-traitance ;
• mineure : écart sans effet identifié sur ces éléments.

Cette classification organise le traitement ; elle ne constitue pas une échelle réglementaire publiée. Le responsable doit être la personne capable de corriger la source ou d’obtenir l’arbitrage, et non uniquement le producteur du registre.

Corriger ou justifier l’écart, puis rejouer le contrôle concerné

Une anomalie est clôturée après correction dans la source ou le registre, ou après justification approuvée. Le contrôle à l’origine de l’écart doit ensuite être rejoué sur la population concernée. Pour une règle transversale — normalisation d’un identifiant, par exemple — le rejeu doit porter sur toute la population afin de détecter les effets de bord.

Une anomalie majeure non corrigée doit faire l’objet d’une décision explicite, assortie de son impact et de son propriétaire. Une acceptation interne ne préjuge pas de l’acceptation du registre par l’autorité.

Prononcer la validation finale sur une version figée et archiver le dossier de preuve

La validation doit désigner précisément la version contrôlée et remise. Le dossier final réunit la matrice exécutée, le journal des anomalies, les justifications approuvées, les résultats du dernier rejeu, les extractions sources, le fichier remis et l’approbation nominative des responsables désignés. Toute modification ultérieure impose d’identifier les contrôles à rejouer.

Avant la remise 2027, la validation finale doit également documenter :

• la date de référence, le calendrier, la taxonomie, le format technique, le canal de transmission et les validations demandées par l’autorité compétente ;
• le périmètre individuel, sous-consolidé ou consolidé applicable, le traitement des succursales et les règles d’identification en vigueur ;
• le périmètre des informations de sous-traitance à déclarer, conformément à la version applicable du règlement d’exécution, pour les services TIC soutenant des fonctions critiques ou importantes.

Sources officielles

• Règlement (UE) 2022/2554 — DORA, notamment article 28
• Règlement d’exécution (UE) 2024/2956 — modèles et instructions du registre

Questions fréquentes

Les contrôles doivent-ils porter sur un échantillon ou sur tout le registre ?

Les tests structurels — unicité, clés orphelines, doublons et chronologie — doivent porter sur toute la population. Un échantillon peut compléter la revue documentaire, mais il ne permet pas de conclure à l’absence d’erreurs dans les lignes non testées.

L’absence de facture permet-elle d’exclure un prestataire du registre ?

Non. Un contrat peut être actif sans facture sur la période, être facturé par un intermédiaire ou relever d’une autre entité comptable. L’exclusion doit être fondée sur le périmètre DORA et les éléments contractuels, pas uniquement sur la comptabilité fournisseurs.

Ces 12 contrôles remplacent-ils la validation du format XBRL-CSV ?

Non. Ils portent sur la qualité, la couverture et la cohérence des données. Le conditionnement technique, la taxonomie et les contrôles du canal de transmission doivent faire l’objet d’une validation distincte selon les instructions 2027. Voir le guide du format XBRL-CSV.