DE
EN
IT
العربية
Contents 5
- Qu'exige DORA pour le lien entre contrat et risque ?
- Que confirme réellement l'organe de révision au sujet du dispositif de contrôle interne ?
- Comment les circulaires de la FINMA relient-elles externalisation, risque TIC et continuité ?
- Qui est responsable de quelle articulation dans le modèle des trois lignes ?
- Quelle première étape permet de combler l'écart entre registre et contrat ?
Un registre des risques attribue une évaluation à une relation fournisseur, des preuves de contrôle confirment que cette évaluation est couverte, et un contrat consigne ce à quoi le tiers s’est engagé. Selon une étude du Diligent Institute, seules 19 % des organisations ont pleinement intégré leurs fonctions de gouvernance, de risques et de conformité. Dans la pratique, les trois couches se trouvent souvent dans des systèmes distincts, tenus par des fonctions différentes, chacune avec son propre cycle de mise à jour. C’est précisément aux points de transmission entre elles qu’apparaissent les écarts que révèle un examen de l’autorité de supervision ou un événement de perte.
En bref
L’évaluation des risques, les preuves de contrôle et les clauses contractuelles ne restent cohérentes que si un identifiant partagé relie le contrat, la position de risque et le test des contrôles. C’est précisément ce qu’exige DORA : un registre d’informations complet sur les contrats TIC ; le Code des obligations suisse distingue le test d’existence du test de fonctionnement du dispositif de contrôle interne, et les circulaires de la FINMA exigent un échange d’informations entre externalisation, risques TIC et continuité. Le modèle des trois lignes attribue les responsabilités correspondantes, mais il ne remplace pas l’intégration technique.
19%
Organisations ayant pleinement intégré leurs fonctions de gouvernance, de risques et de conformité
Diligent Institute
5ans
Période transitoire pour les contrats d’externalisation existants selon la circulaire FINMA 2018/3
Infoguard, 29 mars 2018
Qu’exige DORA pour le lien entre contrat et risque ?
L’article 28 du règlement (UE) 2022/2554 oblige les entités financières à tenir un registre d’informations sur l’ensemble des accords contractuels conclus avec des prestataires tiers de services TIC et à relier ce registre sans lacune à l’évaluation et à la surveillance des risques. Le registre doit être tenu au niveau de l’entité et, le cas échéant, au niveau sous-consolidé et consolidé. Selon l’article 28 du règlement DORA, il couvre l’intégralité du cycle de vie : de la diligence précontractuelle à une stratégie de sortie documentée, en passant par la surveillance continue et les droits d’audit. En vertu de l’article 28, paragraphe 3, le registre doit être transmis à l’autorité compétente chaque année et, en outre, sur demande, comme le relève l’autorité de supervision luxembourgeoise CSSF. Le règlement d’exécution (UE) 2024/2956 fixe les modèles types selon lesquels le registre doit être structuré. Le règlement précise également que l’externalisation de services TIC ne transfère pas la responsabilité réglementaire : les entités financières en demeurent pleinement responsables. Un tel registre suppose que le registre des risques et la documentation contractuelle renvoient au même identifiant de fournisseur, comme le décrit une approche cohérente de la gouvernance des risques tiers.Que confirme réellement l’organe de révision au sujet du dispositif de contrôle interne ?
En vertu de l’article 728a du Code des obligations suisse, l’organe de révision vérifie uniquement l’existence d’un dispositif de contrôle interne, et non son fonctionnement permanent et exempt de défaillances. En vertu de l’article 728a, alinéa 1, chiffre 3, du Code des obligations suisse, l’organe de révision examine, dans le cadre du contrôle ordinaire, l’existence d’un dispositif de contrôle interne ; l’alinéa 2 lui impose d’en tenir compte pour déterminer l’étendue et l’exécution du contrôle. La norme d’audit suisse 890, en vigueur depuis le 1er janvier 2008, le précise, selon les supports de cours de droit comptable de la chaire Handschin : ce qui est examiné, c’est la documentation de la conception et de la mise en œuvre, et non le fonctionnement continu du dispositif de contrôle interne. La responsabilité de sa mise en place et de son exploitation demeure celle du conseil d’administration, comme le relève un article spécialisé de Michael Annen dans la revue TREX. Cette séparation explique pourquoi un dispositif de contrôle interne confirmé dans le rapport de révision ne dit rien sur la question de savoir si un contrôle individuel, convenu contractuellement, fonctionne effectivement au quotidien.
Comment les circulaires de la FINMA articulent-elles externalisation, risques TIC et continuité ?
La circulaire FINMA 2023/1 exige un échange d’informations approprié entre la gestion des risques TIC, la gestion de la continuité d’activité, la gestion de l’externalisation et la planification d’urgence, sans prescrire de mise en œuvre technique particulière. Le 5 décembre 2017, la FINMA a publié la circulaire révisée 2018/3 « Outsourcing : banques et assureurs », entrée en vigueur le 1er avril 2018, qui a remplacé la réglementation précédente de 1999. Pour les externalisations existantes des banques et des négociants en valeurs mobilières, une période transitoire de cinq ans s’est alors appliquée, comme l’a rapporté Infoguard le 29 mars 2018. Le 13 décembre 2022, la FINMA a publié la circulaire 2023/1 « Risques et résilience opérationnels : banques », entièrement révisée, entrée en vigueur le 1er janvier 2024, comme l’a décrit Lexology le 19 janvier 2023. La circulaire, datée du 7 décembre 2022, exige en outre que les risques opérationnels soient catégorisés de manière homogène à l’échelle de l’établissement et consignés dans un inventaire, avec les contrôles clés.Qui est responsable de quelle transmission dans le modèle des trois lignes ?
Le modèle des trois lignes attribue le pilotage des risques et la mise en œuvre des contrôles à la première ligne, la surveillance de ces activités à la deuxième ligne, et l’assurance indépendante apportée au conseil d’administration à la troisième ligne. L’Institute of Internal Auditors a introduit le modèle sous forme de prise de position en 2013 et l’a actualisé en juillet 2020 pour en faire le modèle des trois lignes, comme l’a décrit la publication Diligent le 19 décembre 2025. Le terme « defense » a été délibérément abandonné afin d’élargir la perspective au-delà des seules mesures de protection, vers la gouvernance et la création de valeur. Pour la transmission entre registre des risques, preuves de contrôle et contrat, le modèle signifie que la première ligne respecte l’obligation contractuelle au quotidien, que la deuxième ligne examine la manière dont cette obligation se reflète dans le registre des risques, et que la troisième ligne confirme de manière indépendante si cette chaîne tient dans son ensemble. Le modèle lui-même ne prescrit aucune solution technique ; il décrit des responsabilités, pas un outillage.Le problème des relations plusieurs-à-plusieurs
Une seule clause contractuelle, un avenant relatif au traitement des données, un engagement de niveau de service, une limitation de responsabilité, peut faire office de contrôle atténuant plusieurs risques à la fois : risque d’indisponibilité du fournisseur, risque de violation de données, risque réglementaire. Un seul contrôle, par exemple une évaluation annuelle de la sécurité d’un fournisseur, peut satisfaire simultanément des obligations réparties sur des dizaines de contrats et plusieurs référentiels de conformité. Et un risque unique, comme la concentration sur un fournisseur critique, peut être couvert en partie par une clause contractuelle, en partie par un contrôle interne, et en partie laissé en exposition résiduelle acceptée. Il s’agit d’une relation plusieurs-à-plusieurs qui se déploie dans toutes les directions, alors que la plupart des registres restent construits autour de taxonomies hiérarchiques : un risque se rattache à une catégorie, un contrôle à une exigence d’un référentiel, un contrat à un fournisseur ou à une unité opérationnelle. Les hiérarchies excellent à produire des rapports bien ordonnés ; elles rendent mal compte d’un maillage. Tout outil GRC qui a tenté de greffer des données contractuelles sur un modèle risques-contrôles finit soit par dupliquer les données dans trois registres, soit par construire une table de jointure plusieurs-à-plusieurs à laquelle personne ne se fie vraiment, faute de mandat pour la maintenir à jour.Quelle première étape comble l’écart entre registre et contrat ?
La première étape consiste à définir un identifiant unique pour chaque obligation de contrôle contractuelle, utilisé à l’identique dans le registre des risques, dans les preuves de contrôle et dans le document contractuel. La responsabilité en incombe à la fonction qui tient le registre des contrats, en coordination avec la gestion des risques et la fonction de contrôle. Sans identifiant partagé, toute déclaration de cohérence reste une affirmation qui ne peut pas être retracée lors d’un audit. L’ampleur des conséquences que peuvent avoir des lacunes dans les contrôles des risques TIC est illustrée par un événement de perte de 89 millions d’euros. Au cours du prochain cycle d’audit, comparez un échantillon de contrats classés à risque élevé avec le registre des risques et les preuves de contrôle. Lorsque l’identifiant ou l’état de mise à jour diverge, la correction revient à la fonction qui tient le registre concerné, et non à une fonction de coordination transversale.À lire aussi
Contrat, risque et contrôle dans un même jeu de données
La solution Gestion des risques tiers relie les données contractuelles, l’évaluation des risques et les preuves de contrôle au moyen d’un identifiant de fournisseur partagé. Elle rend la transmission entre les trois couches traçable, et non simplement affirmée. Gestion des risques tiersFAQ
Questions fréquentes
Qu’est-ce qu’un registre d’informations DORA pour les contrats TIC ?
L’article 28 du règlement (UE) 2022/2554 oblige les entités financières à documenter sans lacune l’ensemble des accords contractuels conclus avec des prestataires tiers de services TIC et à les relier à l’évaluation et à la surveillance des risques. Le registre couvre l’intégralité du cycle de vie, de la diligence à la stratégie de sortie, et doit être transmis à l’autorité compétente chaque année et sur demande.
L’organe de révision vérifie-t-il si le dispositif de contrôle interne fonctionne effectivement ?
En vertu de l’article 728a du Code des obligations suisse, l’organe de révision confirme, dans le cadre du contrôle ordinaire, uniquement l’existence et la documentation d’un dispositif de contrôle interne. La question de savoir s’il fonctionne de manière permanente et sans défaillance n’est pas examinée. La responsabilité de sa mise en place et de son exploitation demeure celle du conseil d’administration.
Quelles exigences de la FINMA s’appliquent à l’externalisation et aux risques TIC ?
La circulaire FINMA 2023/1 « Risques et résilience opérationnels : banques », en vigueur depuis le 1er janvier 2024, exige un échange d’informations approprié entre la gestion des risques TIC, la gestion de la continuité d’activité, la gestion de l’externalisation et la planification d’urgence. Elle ne prescrit pas de mise en œuvre technique particulière.
Qu’est-ce que le modèle des trois lignes et qui porte quelle responsabilité ?
Le modèle des trois lignes, actualisé par l’Institute of Internal Auditors en 2020, attribue le pilotage des risques et la mise en œuvre des contrôles à la première ligne, la surveillance de ces activités à la deuxième ligne, et l’assurance indépendante apportée au conseil d’administration à la troisième ligne. Il décrit des responsabilités, pas une solution technique.
Comment combler l’écart entre registre des risques et contrat ?
La première étape est un identifiant unique, utilisé à l’identique pour chaque obligation de contrôle contractuelle dans le registre des risques, dans les preuves de contrôle et dans le document contractuel. Sans cette référence partagée, toute déclaration de cohérence ne peut pas être retracée lors d’un audit.
Sources
