Questionnaire fournisseur TIC DORA : 25 questions à poser avant de négocier ou renouveler un contrat

Réponse rapide — Avant de négocier ou renouveler un contrat, demandez au prestataire TIC 25 réponses couvrant criticité, sécurité, continuité, données, sous-traitance et réversibilité. Chaque réponse doit être prouvée. Appliquez d’abord les critères éliminatoires, puis notez les écarts remédiables et conservez la décision dans un dossier fournisseur versionné.

Ces 25 questions ne forment pas une méthode figée. Adaptez-les à chaque fournisseur : nature de la prestation, criticité du service, données traitées et dépendance réelle. La démarche reste proportionnée, documentée et pilotée par le risque. Une grille recopiée à l’identique d’un dossier à l’autre ne tient pas lieu d’analyse.

Étape	Livrable	Critère de passage
Cadrage	Fiche du service, données, dépendances et impacts	Périmètre et évaluateurs identifiés
Évaluation	25 réponses et index des preuves	Aucune affirmation non étayée
Décision	Score, portes éliminatoires et avis internes	Réserves attribuées et datées
Archivage	Dossier fournisseur versionné	Décision entièrement reconstituable

Quand déclencher le questionnaire fournisseur TIC

L’article 28, paragraphe 4, de DORA impose d’évaluer les risques et d’exercer une diligence appropriée avant de conclure un accord sur l’utilisation de services TIC. Le questionnaire ne doit donc pas arriver après le choix commercial du prestataire tiers de services TIC — l’entreprise qui fournit les services concernés.

Étape 1 — Déclencher à la sélection initiale, au renouvellement ou après un changement matériel

Déclenchez l’évaluation lors :

• de la présélection d’un nouveau prestataire ;
• d’un renouvellement, avant l’ouverture de la négociation ;
• d’une extension ou d’une modification significative du service ;
• d’un changement de pays de stockage, de traitement ou de support ;
• de l’ajout ou du remplacement d’un sous-traitant majeur.

Un changement matériel est ici tout changement susceptible de modifier le risque, les données traitées, les dépendances, la disponibilité ou les conditions de réversibilité.

Étape 2 — Cadrer le service, les données, les dépendances et les impacts avant l’envoi

Le métier propriétaire remplit une fiche indiquant : service exact, processus soutenus, utilisateurs, données, interfaces, dépendances internes et conséquences d’une indisponibilité. Sans ce cadrage, le prestataire peut répondre sur son organisation générale plutôt que sur le service évalué.

Étape 3 — Faire qualifier la fonction par l’entité financière, et non par le fournisseur

La SGP ou l’établissement de paiement détermine si le service soutient une fonction critique ou importante, c’est-à-dire une fonction dont la perturbation pourrait nuire sérieusement à ses activités, à sa continuité ou au respect de ses obligations. Cette qualification ne se délègue pas au prestataire.

Critère de fin : aucun dossier ne passe en négociation tant que le périmètre, la criticité proposée et les évaluateurs requis ne sont pas identifiés.

Les 25 questions à poser et les preuves à demander

La grille doit comporter, pour chaque question : réponse, preuve, date et périmètre de la preuve, propriétaire côté prestataire, notation, caractère éliminatoire éventuel, action, responsable et échéance. Une certification ne vaut pas réponse lorsque son périmètre exclut le service évalué.

Dans les tableaux ci-dessous, E désigne une porte éliminatoire potentielle et R un écart normalement remédiable. La qualification finale dépend du besoin documenté de l’entité.

Criticité du service — Q1 à Q4

#	Question	Preuve attendue	Type
1	Quel service exact, quelles options et quelles limites sont fournis ?	Description et cartographie du service	R
2	Quels processus, composants et interfaces en dépendent ?	Schéma d’architecture et inventaire des dépendances	R
3	Quelles limites de capacité, disponibilité et montée en charge s’appliquent ?	Mesures de capacité et historiques de disponibilité	R
4	Quelles dépendances techniques ou tierces constituent un point de défaillance ?	Cartographie des dépendances critiques	E si non divulguées

Sécurité — Q5 à Q9

#	Question	Preuve attendue	Type
5	Quel référentiel de sécurité couvre effectivement le service ?	Certificat, périmètre et déclaration d’applicabilité	E en cas de refus de preuve
6	Comment les accès utilisateurs et privilégiés sont-ils protégés ?	Politique IAM, MFA, revues d’habilitation et extraits de contrôle	R
7	Comment les vulnérabilités sont-elles détectées et corrigées ?	Synthèse de test d’intrusion, rapports de vulnérabilités et délais de correction	R
8	Quels journaux et moyens de détection sont disponibles ?	Catalogue des logs, durées de conservation et couverture de supervision	R
9	Quels incidents significatifs ont touché le service sur la période retenue ?	Indicateurs d’incident, causes et plans correctifs	R

Continuité — Q10 à Q13

#	Question	Preuve attendue	Type
10	Quels scénarios sont couverts par le PCA et le PRA ?	Extraits datés des plans couvrant le service	R
11	Quels RTO et RPO ont été réellement atteints ?	Résultats de tests horodatés	E si incompatibles avec le besoin
12	Quand le dernier test a-t-il eu lieu et quels écarts restent ouverts ?	Compte rendu, anomalies, responsables et échéances	R
13	Quelles ressources et dépendances soutiennent la gestion de crise ?	Organisation de crise, contacts et solutions de remplacement	R

Le RTO est la durée cible de rétablissement ; le RPO, la perte de données maximale admissible. Ils doivent être comparés au besoin métier, pas seulement aux objectifs proposés par le prestataire.

Données — Q14 à Q17

#	Question	Preuve attendue	Type
14	Quelles catégories de données sont collectées ou produites ?	Inventaire et cartographie des flux	R
15	Dans quels pays ont lieu stockage, sauvegarde, traitement et support distant ?	Liste des pays, sites et opérations réalisées	E si localisation inconnue ou interdite
16	Comment fonctionnent le chiffrement et la gestion des clés ?	Architecture cryptographique et responsabilités sur les clés	R
17	Quelles règles encadrent conservation, restitution et suppression ?	Politique de rétention et preuve récente de suppression	E si aucun mécanisme exploitable

Sous-traitance — Q18 à Q21

#	Question	Preuve attendue	Type
18	Quels sous-traitants participent à la fourniture du service ?	Liste datée, services fournis et localisations	E si chaîne opaque
19	Comment sont-ils sélectionnés et contrôlés ?	Procédure de diligence et exemple de revue	R
20	Comment un ajout ou changement est-il notifié ?	Processus et exemple de notification	R
21	Quelles concentrations ou dépendances subsistent en cas de défaillance ?	Analyse de dépendance et solutions de remplacement	R

L’analyse doit couvrir les sous-traitants TIC effectivement mobilisés, y compris lorsqu’ils ne sont pas en relation contractuelle directe avec l’entité. Pour approfondir ce point : détecter le risque de concentration TIC.

Réversibilité — Q22 à Q25

#	Question	Preuve attendue	Type
22	Dans quels formats et par quels moyens les données sont-elles exportées ?	Formats, documentation API et exemple d’export	E si aucune restitution exploitable
23	Quels délais, coûts, volumes et prérequis s’appliquent ?	Barème, procédure et estimation sur le périmètre	R
24	Quelle assistance à la migration est disponible ?	Description des ressources, compétences et limites	R
25	Quand restitution et suppression ont-elles été testées ?	Résultat du dernier test et attestation de suppression	E si mécanismes non démontrés

Le questionnaire évalue la faisabilité de la réversibilité ; il ne remplace pas un plan de sortie fournisseur.

Comment noter les réponses et traiter les signaux d’alerte

Étape 1 — Noter chaque réponse de 0 à 2 sans attribuer de points à une affirmation non prouvée

• 0 : absence de réponse, refus de preuve ou réponse incompatible avec le besoin ;
• 1 : réponse partielle, preuve trop ancienne ou remédiation crédible à engager ;
• 2 : réponse complète, avec preuve valide couvrant le service.

Le total est calculé sur 50. À titre de méthode interne, non de seuil réglementaire : 40 à 50 signifie recevable en l’absence de porte éliminatoire ; 30 à 39, recevable sous conditions ; moins de 30, rejet ou nouvelle consultation. Exigez aussi 60 % par domaine, arrondis au point supérieur : 5/8 pour chaque domaine à quatre questions et 6/10 pour la sécurité.

Étape 2 — Appliquer les portes éliminatoires avant de lire le score total

Un score élevé ne compense pas une localisation inconnue, un RTO incompatible, une chaîne de sous-traitance opaque, des dépendances critiques cachées, un refus de preuves de sécurité ou l’absence de restitution et de suppression exploitables. Une porte n’est levée que par une preuve ou par une décision formelle d’acceptation du risque selon la gouvernance interne.

Étape 3 — Transformer chaque écart remédiable en action datée et vérifiable

Chaque action comporte un responsable, une échéance, une preuve de clôture et, si nécessaire, un contrôle compensatoire applicable jusqu’à la correction. Une promesse commerciale ou la mention « prévu dans la feuille de route » ne constitue pas un plan de remédiation.

Étape 4 — Faire valider la décision par les fonctions adaptées

Le métier valide le besoin et la criticité ; le RSSI ou la DSI, la sécurité et la continuité ; le DPO, les données personnelles ; les risques et la conformité — dont le RCCI en SGP selon l’organisation — rendent leur avis ; achats et juridique consolident le dossier. Pour un service soutenant une fonction critique ou importante, l’approbation suit le niveau prévu par la délégation interne.

Un workflow TPRM dédié aux tiers TIC peut centraliser questionnaire, preuves, avis, remédiations et historique sans modifier cette répartition des responsabilités.

Critère de fin : score recalculable, portes explicitement levées ou bloquantes, avis nominatifs et réserves attribuées.

Comment documenter la décision avant la négociation contractuelle

Étape 1 — Geler la version évaluée du questionnaire et indexer toutes les preuves

Le dossier fournisseur contient la fiche du service, la qualification de criticité, les réponses brutes et un index indiquant pour chaque preuve : émetteur, date, périmètre, version et lien vers le fichier. L’espace documentaire doit être contrôlé et conserver l’historique des versions.

Étape 2 — Rédiger une fiche de décision

La fiche conclut par retenir, retenir sous conditions ou écarter. Elle reprend le score, les portes examinées, les avis internes, les réserves, l’approbateur final et les éventuels conflits d’intérêts. Les seuils et la durée de conservation relèvent des politiques internes applicables à la SGP ou à l’établissement de paiement.

Étape 3 — Transférer les réserves vers la négociation et le suivi

Les exigences issues de l’évaluation deviennent des points de négociation : niveau de service à aligner, preuve à fournir, restriction de localisation, encadrement d’un sous-traitant ou jalon de remédiation. Leur rédaction contractuelle est traitée séparément dans la checklist de l’article 30 DORA.

Étape 4 — Archiver les validations et relier le dossier au registre d’informations

Après signature, reliez le dossier à l’entrée correspondante du registre d’informations tenu au titre de l’article 28, paragraphe 3, de DORA. Le dossier thématique DORA de l’AMF rappelle le cadre applicable aux acteurs relevant de sa supervision.

Critère de fin : un tiers interne peut retrouver qui a décidé, sur quelles preuves, quelles réserves subsistent et quelles exigences ont été transférées au contrat.

Questions fréquentes

Une certification ISO 27001 suffit-elle pour valider un fournisseur TIC ?

Non. Il faut vérifier l’entité certifiée, les sites, les activités et le service inclus dans le périmètre. Demandez le certificat, son annexe de périmètre et la déclaration d’applicabilité. Si le service évalué est exclu, la certification ne rapporte pas de point à la question concernée.

Que faire si le prestataire refuse des preuves pour des raisons de confidentialité ?

Proposez une consultation encadrée : data room, lecture seule, extrait expurgé ou présentation sous accord de confidentialité. Si aucune modalité ne permet de vérifier une exigence déterminante, notez la réponse 0 et traitez le refus comme une porte éliminatoire potentielle.

Faut-il refaire les 25 questions chaque année ?

DORA n’impose pas une fréquence annuelle uniforme pour ce questionnaire. Fixez une périodicité fondée sur le risque et relancez l’évaluation avant un renouvellement ou après un changement matériel : service, incident significatif, localisation, sous-traitant, architecture ou conditions de réversibilité.