Suivi des prestataires critiques DORA : pourquoi la due diligence initiale ne suffit pas

Non. La due diligence à l’onboarding établit qu’un prestataire est acceptable avant la contractualisation. Le suivi doit ensuite détecter toute dégradation du service, modification de la chaîne de sous-traitance, hausse du risque de concentration ou perte de validité des assurances obtenues.

Réponse courte

Un dispositif défendable combine trois mécanismes : des indicateurs suivis pendant l’exécution, des revues périodiques proportionnées à la criticité et des réévaluations déclenchées par événement. Un questionnaire annuel isolé ne couvre pas ce cycle de vie.

Le triptyque : indicateurs, revue périodique, déclencheurs événementiels

La surveillance continue ne signifie pas qu’une équipe réévalue quotidiennement chaque fournisseur. Elle suppose que les signaux disponibles — incidents, SLA, alertes de sécurité, changements de sous-traitants, certifications ou concentration — soient collectés selon une fréquence définie et qu’un seuil déclenche une décision.

La revue périodique consolide ces signaux et vérifie si l’acceptation initiale reste justifiée. La revue sur événement intervient sans attendre la prochaine échéance lorsqu’un changement matériel affecte le risque ou la capacité du prestataire à soutenir le service.

Ce que DORA impose et ce que l’entité doit calibrer elle-même

L’article 28 du règlement (UE) 2022/2554 impose notamment une gestion du risque lié aux prestataires tiers de services TIC, une évaluation préalable, un registre d’informations et des stratégies de sortie pour les services soutenant des fonctions critiques ou importantes. Le règlement délégué (UE) 2024/1773 précise le contenu de la politique applicable à ces arrangements contractuels.

DORA ne prescrit toutefois ni une revue trimestrielle ni une campagne annuelle universelle. L’entité doit formaliser sa propre cadence à partir de la fonction soutenue, du profil de risque du service, de la dépendance technique et de sa substituabilité. Les ressources DORA publiées par l’ESMA permettent de suivre le corpus européen applicable, sans remplacer ce calibrage interne.

Si vous débutez, commencez ici : Prestataire tiers TIC DORA : définition et impact sur le suivi des fournisseurs IT.

Onboarding vs surveillance

À l’onboarding : qualifier la fonction, le risque et les conditions contractuelles

Avant la signature, l’entité détermine si le service soutient une fonction critique ou importante — une fonction dont la perturbation pourrait notamment nuire sérieusement à la continuité des activités ou au respect des obligations d’agrément. Elle évalue ensuite le prestataire, les risques de concentration, les conflits d’intérêts, les standards de sécurité et les conditions de recours à des sous-traitants.

Le contrat doit traduire cette analyse. L’article 30 prévoit notamment la description des services, les localisations de traitement et de stockage des données, les conditions d’accès, de récupération et de restitution, les SLA, l’assistance en cas d’incident, la coopération avec les autorités ainsi que les droits de résiliation. Pour un service soutenant une fonction critique ou importante, s’ajoutent notamment des objectifs de performance détaillés, des droits d’audit, des plans de continuité testés, la participation aux tests requis, l’encadrement de la sous-traitance et les conditions de sortie. Ces exigences sont détaillées dans notre analyse des clauses contractuelles obligatoires de l’article 30.

En exploitation : contrôler les hypothèses qui ont fondé l’acceptation

La surveillance ne consiste pas à redemander chaque année les mêmes documents. Elle vérifie si les hypothèses d’entrée restent vraies :

• les SLA et objectifs de reprise sont-ils respectés ?
• les incidents révèlent-ils une faiblesse récurrente ou un impact accru sur la fonction soutenue ?
• les lieux de traitement, l’architecture ou le périmètre du service ont-ils changé ?
• de nouveaux sous-traitants ont-ils été introduits ?
• les rapports d’audit et certifications couvrent-ils toujours le service, les entités juridiques et les localisations concernés ?
• les remédiations convenues sont-elles clôturées avec une preuve vérifiable ?

Toute réponse négative doit conduire à une réévaluation documentée, et pas seulement à l’archivage d’une pièce actualisée.

Prestataire désigné critique et tiers soutenant une fonction critique : deux qualifications distinctes

Un prestataire tiers soutenant une fonction critique ou importante est qualifié comme tel par l’entité financière au regard du service qu’elle utilise. Un prestataire critique de services TIC est, lui, désigné au niveau européen selon l’article 31 et soumis à un cadre de supervision spécifique.

L’absence de désignation européenne ne réduit donc pas les obligations de l’entité. Un fournisseur non désigné peut soutenir une fonction critique ou importante et nécessiter une surveillance intensive.

Cadence et déclencheurs

La fonction soutenue détermine l’intensité du suivi

Une règle interne défendable peut prévoir, pour les services soutenant une fonction critique ou importante, des alertes suivies au fil de l’eau, une revue opérationnelle trimestrielle et une réévaluation complète annuelle. Ce rythme constitue un choix de gestion, pas une fréquence imposée par DORA. Il doit être renforcé lorsque la substituabilité est faible, que les délais de migration sont longs ou que plusieurs fonctions dépendent du même prestataire.

La criticité ne doit pas être réduite à une étiquette fournisseur. Un même prestataire peut fournir un service critique et un autre qui ne l’est pas ; la cadence doit descendre au niveau de l’arrangement contractuel et de la fonction soutenue.

Incidents et SLA : revoir sans attendre l’échéance

Une revue ad hoc doit être déclenchée après un incident affectant le service, une dégradation répétée des SLA ou une évolution défavorable des objectifs de reprise. L’analyse doit rapprocher le signal de la tolérance d’interruption de la fonction, de l’impact réel et des incidents antérieurs. Enregistrer l’incident sans décision sur le maintien du risque ne constitue pas une revue.

Concentration : suivre la substituabilité et les dépendances communes

Le risque de concentration évolue après l’onboarding : migration de nouveaux services vers le même fournisseur, acquisition entre prestataires, recours généralisé au même sous-traitant ou dépendance commune à une région cloud. Le suivi doit donc réévaluer les alternatives disponibles, les délais de remplacement, la portabilité des données et les dépendances techniques communes. Voir aussi l’analyse du risque de concentration TIC sous DORA.

Sous-traitance : détecter les changements de chaîne, de localisation et de périmètre

L’ajout ou le remplacement d’un sous-traitant peut modifier les lieux de traitement, les droits d’audit, le régime juridique applicable ou la capacité de sortie. Une notification fournisseur doit être rapprochée du contrat, de l’analyse de risque et du registre d’informations. Une modification significative ne peut pas être traitée comme une simple mise à jour administrative.

Certifications : contrôler la validité, le périmètre et les réserves

La date d’expiration ne suffit pas. Le suivi doit vérifier l’entité certifiée, les services couverts, les sites inclus, les exclusions, les réserves de l’auditeur et les plans correctifs associés. Une certification renouvelée mais excluant la plateforme effectivement utilisée ne clôt aucun risque.

Preuves attendues

DORA n’impose pas un format unique de procès-verbal. La piste d’audit doit néanmoins montrer qu’un signal a été reçu, évalué, décidé puis traité.

PV de revue : indicateurs examinés, écarts et décisions

Le PV daté doit identifier l’arrangement examiné, la fonction soutenue, les participants, la période couverte, les indicateurs analysés, les écarts et la décision : maintien, remédiation, escalade, acceptation du risque ou préparation de la sortie. Un compte rendu sans décision ne démontre pas la maîtrise du risque.

Alertes : source, horodatage, matérialité et traitement

Le journal des alertes doit conserver la source, l’horodatage, le service affecté, l’évaluation de matérialité, le responsable du traitement et le lien vers la décision. Les alertes de sécurité, incidents, changements de sous-traitants et expirations de certifications doivent pouvoir être rapprochés de l’arrangement concerné.

Plan d’action : responsable, délai, clôture et risque résiduel

Chaque écart retenu doit comporter un responsable, une échéance, un statut et une preuve de clôture. Si l’écart n’est pas corrigé, l’acceptation du risque résiduel doit être explicite, limitée dans le temps et attribuée au niveau disposant de l’autorité nécessaire.

Registre d’informations et sortie : maintenir la cohérence des dépendances

Le registre prévu à l’article 28, paragraphe 3, doit refléter les changements constatés pendant le suivi : service, fonction soutenue, sous-traitance et autres dépendances déclarées. L’article 28, paragraphe 8, exige par ailleurs des stratégies de sortie documentées, testées et revues périodiquement pour les services soutenant une fonction critique ou importante. Le scénario de remplacement doit donc évoluer avec le service réel, et non rester figé dans le dossier d’onboarding. Pour approfondir : construire un plan de sortie fournisseur DORA.

Erreurs fréquentes

Confondre fréquence annuelle et surveillance continue

Une campagne annuelle ne détecte pas à temps un incident matériel, une dégradation répétée des SLA ou un changement de sous-traitant intervenu en cours d’année. La date de revue ne doit jamais neutraliser les déclencheurs événementiels.

Accepter une certification sans vérifier son périmètre

Le nom du standard et sa date de validité ne suffisent pas. Sans contrôle des services, sites, exclusions et réserves, la certification peut être sans rapport avec le risque évalué.

Suivre le fournisseur sans mettre à jour le registre

Un changement de service ou de sous-traitance enregistré dans l’outil TPRM mais absent du registre laisse une dépendance réglementaire invisible. Les deux supports doivent être rapprochés après chaque changement matériel.

Clore une revue sans action, acceptation du risque ou critère de sortie

Une revue aboutit à une décision traçable. Lorsqu’un écart persiste, l’entité doit choisir entre remédiation, exercice d’un droit contractuel, acceptation temporaire du risque ou activation d’un critère de sortie.

Traiter la criticité comme une étiquette fixe

La fonction soutenue, le périmètre du service et la capacité de substitution peuvent évoluer. La qualification doit être réexaminée lors d’une extension du service, d’une migration, d’une réorganisation ou d’un changement significatif de la chaîne de sous-traitance.