Articles conformité et ressources

DORA exige que les entités financières concernées gèrent les risques liés aux prestataires tiers de services TIC et tiennent à jour des informations sur leurs accords contractuels TIC, avec des exigences renforcées lorsque les prestataires soutiennent des fonctions critiques ou importantes. NIS2 impose aux entités essentielles et importantes de traiter la sécurité de la chaîne d’approvisionnement, en particulier les risques impliquant les fournisseurs directs et les prestataires de services. Les deux régimes se chevauchent, mais DORA est plus prescriptif concernant la gestion des risques liés aux tiers TIC.

La gestion des risques liés aux tiers dans le cadre de DORA est partagée entre les entités financières et leurs prestataires TIC. Depuis le 17 janvier 2025, l’article 13, paragraphe 6, exige que les banques, les assureurs et les sociétés d’investissement mettent en place des programmes de sensibilisation à la sécurité TIC et des formations à la résilience, et, le cas échéant, y incluent leurs prestataires TIC ; et l’article 30, paragraphe 2, point i), exige que chaque contrat TIC précise comment le prestataire y participe. Les prestataires capables d’en apporter la preuve conservent le contrat.

Le filtrage des PPE identifie si un client, un fournisseur ou un partenaire commercial est une personne politiquement exposée : quelqu’un qui occupe ou a occupé une position publique de premier plan, ou un membre de sa famille ou une personne qui lui est étroitement associée. Une correspondance de nom n’est qu’un début. Un filtrage efficace vérifie le rôle, le niveau d’influence, le pays et si la personne est toujours en fonction, puis documente la décision de risque et répète la vérification si les circonstances changent.

Le filtrage des tiers pour les entreprises en croissance répond à une question avant la signature d’un contrat : avec qui faisons-nous réellement affaire ? En pratique, il vérifie trois signaux : si la contrepartie figure sur une liste de sanctions, si une personne physique est une personne politiquement exposée, et si des informations défavorables issues des médias pointent vers une fraude, de la corruption ou d’autres actes répréhensibles. Réalisé de manière cohérente, proportionnée et documentée, il s’agit d’un élément de base de la gestion des risques commerciaux, et non d’un exercice réservé aux banques.

La conformité aux sanctions pour les PME n’est plus facultative en 2026. La directive 2024/1226 érige les violations graves des sanctions en infractions pénales dans toute l’UE, fixe des sanctions minimales et étend la responsabilité aux entreprises, si bien que l’application de la loi touche désormais les petites structures qui commercent, exportent ou s’approvisionnent à l’international. Ce dont les PME ont besoin, c’est d’un processus clair et reproductible : contrôler chaque contrepartie au regard des listes de sanctions, enregistrer le résultat et surveiller les évolutions dans le temps.

La conformité de la chaîne d’approvisionnement pour les PME change en 2026 car les règles de l’UE s’étendent désormais au-delà de l’entreprise réglementée pour atteindre ses fournisseurs : les demandes d’informations sur l’approvisionnement, l’actionnariat et les risques proviennent des clients et des partenaires, et non des régulateurs, et elles arrivent de manière plus fréquente et plus structurée. Les PME n’ont pas besoin d’une grande équipe, mais d’un processus clair pour savoir avec qui elles travaillent, collecter l’information une seule fois et répondre à chaque demande à partir de celle-ci.

Les PME peuvent satisfaire aux exigences NIS2 en matière de traitement des vulnérabilités grâce à un processus de signalement simple et structuré : un canal unique où les employés, les fournisseurs et les chercheurs peuvent signaler une faille de sécurité, un traitement confidentiel, un responsable désigné qui l’évalue et la corrige, et une trace de ce qui a été fait. Un système d’alerte professionnelle fournit déjà ce flux de travail, de sorte que le même canal peut servir les deux régimes.

L’infraction de « manquement à la prévention de la fraude » de l’ECCTA s’applique aux grandes organisations, mais elle atteint les PME par le biais de leurs contrats. Puisque la seule défense légale consiste à prouver l’existence de procédures raisonnables, les entreprises britanniques demandent désormais aux fournisseurs de justifier de formations anti-fraude, de dispositifs d’alerte professionnelle, de droits d’audit et de clauses de résiliation. Les petits fournisseurs sont liés dans la pratique, et non par la loi elle-même.

Dans la gestion de la chaîne d’approvisionnement, la proportionnalité consiste à concentrer la diligence raisonnable sur les fournisseurs les plus importants et les plus stratégiques, mais elle ne doit pas signifier ignorer les plus petits. Les petits fournisseurs comportent des risques cachés en matière de conformité, de continuité et de réputation, tout en apportant flexibilité, spécialisation et innovation. Une stratégie équilibrée évalue chaque fournisseur selon un niveau de référence et adapte le niveau de contrôle en fonction du risque, et non de la taille de l’entreprise.

L’éthique de la chaîne d’approvisionnement s’accompagne désormais d’exigences juridiques. La directive sur le devoir de vigilance des entreprises en matière de durabilité, approuvée par le Parlement européen le 24 avril 2024, tient les grandes entreprises pour responsables de l’identification, de la prévention et de la réparation des atteintes aux droits humains et à l’environnement tout au long de leurs chaînes de valeur ; ce devoir se répercute sur leurs fournisseurs par le biais de contrats et de questionnaires. Les entreprises qui cartographient leur chaîne et documentent les contrôles de leurs fournisseurs répondent à cette demande et bénéficient d’un avantage commercial.