Daniel Bermejo · Cofondateur et directeur technique, Trusty · Entrepreneur en série, ancien de PwC, IBM et Roche · Ancien Managing Director, Startup Invest
Le véritable changement structurel de DORA concerne la gestion des risques liés aux tiers. Il s’étend délibérément au-delà de l’entité réglementée, jusqu’aux éditeurs de logiciels, fournisseurs cloud, plateformes SaaS et prestataires de services managés dont dépendent les institutions financières. DORA ne réglemente pas directement ces prestataires TIC. En revanche, il oblige les entités financières à leur répercuter ses exigences par contrat, et à gérer activement, documenter et démontrer cette relation.
Qu’exige DORA pour les prestataires TIC tiers ?
Deux articles rendent concrète la gestion des risques liés aux tiers dans le cadre de DORA :
L’article 13, paragraphe 6, exige que les entités financières élaborent des programmes de sensibilisation à la sécurité TIC et des formations à la résilience opérationnelle numérique, en tant que modules obligatoires pour l’ensemble des employés et la direction. Le cas échéant, elles doivent également inclure leurs prestataires de services TIC tiers dans ces dispositifs de formation.
L’article 30, paragraphe 2, point i), boucle la boucle : chaque contrat de services TIC doit définir les conditions de participation des prestataires de services TIC tiers aux programmes de sensibilisation à la sécurité TIC et aux formations à la résilience opérationnelle numérique de l’entité financière. Il ne s’agit pas d’une clause « facultative » réservée aux prestataires critiques. Elle figure dans les exigences contractuelles de base qui s’appliquent à tous les contrats de services TIC.
Autrement dit, votre obligation de formation à la résilience s’étend désormais à toute votre chaîne d’approvisionnement, et vos contrats doivent préciser comment.
La question suivante, évidente pour les deux parties au contrat, est : comment mettre concrètement en œuvre la gestion des risques liés aux tiers dans le cadre de DORA ? Envoyer des politiques en PDF par e-mail à une liste de prestataires en espérant que tout se passe bien ne produit pas la piste d’audit qu’un superviseur attend. C’est précisément le problème que Trusty a été conçu pour résoudre.
Comment les entités financières peuvent-elles apporter la preuve des formations des tiers au titre de DORA ?
La plateforme de conformité Trusty a été conçue autour d’une idée simple : les politiques et les formations n’ont de valeur que si vous pouvez prouver qui les a reçues, qui les a lues, qui les a suivies jusqu’au bout, et quand.
Dans le cadre de DORA, cette preuve doit désormais couvrir des parties externes. Voici comment les entités financières utilisent Trusty pour gérer, en pratique, la gestion des risques liés aux tiers dans le cadre de DORA :
- Diffuser les politiques au-delà de votre propre personnel. Vos politiques de gestion des risques TIC, de déclaration des incidents, d’utilisation acceptable, de sécurité de l’information et de continuité d’activité peuvent être attribuées non seulement au personnel interne, mais aussi aux contacts désignés chez chaque prestataire TIC. Chaque prestataire voit exactement l’ensemble de politiques pertinent pour son service, ni plus ni moins.
- Attribuer des formations à la résilience au personnel des fournisseurs. L’article 13, paragraphe 6, indique que la formation doit présenter un niveau de complexité proportionné au périmètre de leurs fonctions. Trusty vous permet d’attribuer les bons modules de formation, par exemple sensibilisation à la sécurité TIC, escalade des incidents et bases de la résilience opérationnelle, aux bons rôles chez les fournisseurs, avec des échéances et des rappels automatiques.
- Suivre les accusés de réception et les complétions, automatiquement. Les confirmations de lecture et d’acceptation, les taux de complétion des formations et les éléments en retard sont consignés par prestataire et par personne. Lorsque votre superviseur ou votre fonction d’audit interne préparant la revue du registre d’informations vous demande comment vous respectez l’article 30, paragraphe 2, point i), vous exportez les preuves au lieu de les reconstituer.
- Suivre le rythme des mises à jour des politiques. DORA est un cadre vivant, avec des normes techniques réglementaires encore en cours d’affinage. Lorsque vous mettez à jour une politique, la redistribution et la nouvelle confirmation de lecture sur l’ensemble de votre base de fournisseurs se font via un seul workflow, et non via une campagne d’e-mails trimestrielle.
- Segmenter selon la criticité. Les prestataires soutenant des fonctions critiques ou importantes sont soumis au régime renforcé de l’article 30, paragraphe 3. Dans Trusty, vous pouvez classer votre population de prestataires par niveaux et appliquer des ensembles de politiques plus approfondis ainsi que des parcours de formation plus exigeants au niveau critique, en reflétant la logique de proportionnalité que les superviseurs s’attendent à voir.
Résultat : vos obligations de formation et de politiques vis-à-vis des tiers cessent d’être une formalité contractuelle que personne ne peut démontrer, et deviennent un processus géré et auditable, conçu pour la gestion des risques liés aux tiers dans le cadre de DORA à grande échelle.
Que doivent faire les prestataires TIC et les fintechs pour se préparer à DORA ?
Si vous vendez des logiciels ou des services TIC à des institutions financières de l’UE, DORA vous atteint via vos clients, que cela vous plaise ou non. Chaque renouvellement et chaque nouveau contrat s’accompagne désormais de clauses de l’article 30 : engagements de sécurité, coopération en cas d’incident, droits d’audit, et participation aux programmes de formation et de sensibilisation du client.
Les prestataires réagissent de deux manières. Certains laissent chaque banque cliente imposer son propre patchwork de politiques et d’exigences de formation, et finissent par jongler avec dix régimes de conformité différents pour dix clients différents. Les plus avisés inversent la dynamique : ils arrivent à la négociation déjà équipés, avec leur propre cadre de politiques documenté et un personnel formé, et négocient en position de force, comme le font déjà les fournisseurs matures lorsqu’ils mettent en avant leurs propres programmes de sécurité au lieu de rejoindre ceux de chaque client.
Qu’est-ce que le Trusty FinTech Booster ?
Le Trusty Fintech Booster est un pack prêt à l’emploi qui permet à un prestataire TIC au service du secteur financier de se doter immédiatement de la base de conformité sur laquelle ses clients réglementés l’interrogeront :
- Un ensemble de politiques prêt à l’emploi couvrant les points que les entités financières examinent en due diligence : sécurité de l’information, protection des données et vie privée, continuité d’activité, gestion des tiers et des sous-traitants, tenue des registres, code de conduite, lutte anti-corruption et dispositif d’alerte. Rédigé par des professionnels, maintenu et mis à jour au fil de l’évolution de la réglementation.
- Une bibliothèque de formations que votre personnel peut suivre dès le premier jour, incluant la sensibilisation à la cybersécurité et au phishing, la protection des données (RGPD), le code de conduite et les bases de la conformité, ainsi que la sensibilisation à la fraude, avec suivi des complétions et certificats à remettre à l’équipe de gestion des risques fournisseurs de n’importe quel client.
- Un canal d’alerte conforme à la directive européenne sur la protection des lanceurs d’alerte. C’est de plus en plus un élément standard des questionnaires de due diligence des banques, et un signal de confiance fort en soi.
- Un système d’enregistrement unique. Lorsque l’équipe achats ou risques tiers d’un client demande à voir vos politiques et vos registres de formation, la réponse est un export, pas une course contre la montre.
Pour une fintech engagée dans son propre processus d’agrément, par exemple en tant qu’établissement de paiement, établissement de monnaie électronique ou prestataire de services sur crypto-actifs au titre de MiCA, la même base alimente directement le dossier d’agrément. La préparation à DORA est désormais évaluée dans le cadre de ces demandes ; le Booster remplit donc une double fonction : il satisfait vos clients bancaires et votre propre régulateur.
Deux parties, une seule plateforme pour la gestion des risques liés aux tiers dans le cadre de DORA
DORA a créé une relation de conformité entre les entités financières et leurs prestataires TIC, et Trusty sert les deux extrémités :
Entité financière (banque, assureur, entreprise d’investissement) | Prestataire TIC (SaaS, cloud, MSP, fintech) | |
|---|---|---|
Obligation | Étendre les politiques et la formation à la résilience aux fournisseurs (art. 13, par. 6, et art. 30, par. 2, point i)) et en apporter la preuve | Répondre aux exigences contractuelles de conformité de chaque client réglementé |
Avec Trusty | Diffuser, attribuer, suivre et exporter les preuves sur l’ensemble de la base fournisseurs | Fintech Booster : ensemble de politiques instantané, personnel formé, canal d’alerte, dossiers prêts pour audit |
Résultat | Des preuves au niveau des superviseurs, sans fouilles dans des tableurs | Due diligence plus rapide, position de négociation renforcée, cycles de vente plus courts |
Lorsque les deux parties s’appuient sur une plateforme structurée pour la gestion des risques liés aux tiers dans le cadre de DORA, la discussion autour de l’article 30 cesse d’être une source de friction et devient une simple case à cocher, tant pour l’équipe risques fournisseurs de la banque que pour l’équipe commerciale du prestataire.
Que se passe-t-il si vous attendez pour la gestion des risques liés aux tiers dans le cadre de DORA ?
DORA n’est plus en période de grâce. Les registres d’informations ont été transmis aux superviseurs, les premiers prestataires tiers critiques ont été désignés pour une supervision européenne directe, et les constats DORA alimentent désormais les processus de revue prudentielle, avec de réelles conséquences sur les exigences de fonds propres et, pour les prestataires, sur les renouvellements de contrats.
Les entités financières qui ne peuvent pas démontrer la participation des fournisseurs aux formations présentent un écart documenté. Les prestataires TIC qui se présentent à la due diligence les mains vides perdent des contrats au profit de concurrents qui ne le font pas.
Ces deux problèmes se résolvent en quelques jours, pas en quelques mois.
Entités financières : contactez-nous pour étendre la diffusion des politiques et des formations Trusty à votre base de fournisseurs TIC.
Prestataires TIC et fintechs : adoptez le Fintech Booster et arrivez à votre prochaine négociation avec une banque déjà conforme.
Trusty AG est une société suisse de logiciels de conformité basée à Hünenberg, Zoug. Notre plateforme couvre la gestion des politiques, la formation conformité, le dispositif d’alerte, le screening LCB-FT et sanctions et des outils ESG, pour les entités réglementées et les partenaires sur lesquels elles s’appuient. Contactez-nous sur trusty.report.
Cet article fournit des informations générales sur les exigences réglementaires et ne constitue pas un conseil juridique.
Questions fréquentes
L’article 13, paragraphe 6, exige que les entités financières mettent en place des programmes de sensibilisation à la sécurité TIC et des formations à la résilience opérationnelle numérique pour l’ensemble des employés et la direction et, le cas échéant, y incluent leurs prestataires de services TIC tiers. L’article 30, paragraphe 2, point i), exige que chaque contrat de services TIC précise les conditions de participation du prestataire à ces programmes.
Non. DORA oblige les entités financières à répercuter ses exigences à leurs prestataires TIC par contrat et à gérer, documenter et démontrer cette relation. Les prestataires se conforment à DORA via les clauses de l’article 30 de leurs clients, à chaque renouvellement et à chaque nouveau contrat.
Non. La clause de l’article 30, paragraphe 2, point i), fait partie des exigences contractuelles de base applicables à tous les contrats de services TIC. Les prestataires soutenant des fonctions critiques ou importantes sont en plus soumis au régime renforcé de l’article 30, paragraphe 3.
Un cadre de politiques documenté, du personnel formé avec des attestations de complétion et un canal d’alerte, afin que la due diligence d’un client soit traitée via un export plutôt qu’en adoptant le régime distinct de chaque banque. Pour les fintechs engagées dans leur propre processus d’agrément, la préparation à DORA est évaluée dans le cadre de la demande.
CONFORMITÉ, PRÊTE À L’EMPLOI
FinTech Booster Pack : 16 politiques de conformité prêtes à déployer et 8 modules de formation couvrant la LCB-FT/KYC, les politiques et le dispositif d’alerte, rapides à déployer.