# Gouvernance des risques tiers : du registre des fournisseurs au pilotage > SwissGRC explique comment passer d'un registre de fournisseurs au pilotage des risques tiers, selon DORA, les orientations de l'ABE et la FINMA. L'article s'adresse aux fonctions GRC et décrit une première étape concrète. - URL: https://swissgrc.com/fr/gouvernance-risques-tiers-registre-fournisseurs-pilotage/ - Éditeur: SwissGRC® - Publié: 2026-08-29 - Dernière mise à jour: 2026-09-17 ## Points clés - L'article 28, paragraphe 3, de DORA oblige les entités financières à tenir un registre de tous les accords contractuels conclus avec des prestataires tiers de services TIC et à le communiquer à l'autorité compétente. - Le 18 novembre 2025, l'ABE, l'AEAPP et l'AEMF ont désigné pour la première fois 19 prestataires tiers critiques de services TIC au titre de DORA, à partir des données des registres déclarés. - Dans sa communication sur la surveillance 03/2024, la FINMA relève des inventaires manquants, des contrôles incomplets et une intégration insuffisante dans le dispositif de contrôle interne. - Selon la FINMA, la part des cyberattaques réussies visant les prestataires d'établissements financiers est passée d'environ 25 % à 50 %. - Selon le Moniteur des risques 2024 de la FINMA, un tiers des cyberattaques déclarées contre des établissements financiers passent indirectement par des tiers. - Une gouvernance efficace définit qui évalue la criticité, la concentration et le risque contractuel, à quelle fréquence, et quels seuils déclenchent une escalade vers la direction générale. La gestion des risques tiers exige aujourd’hui davantage qu’une liste de fournisseurs bien tenue. Les autorités de supervision de l’Union européenne et de Suisse imposent des registres structurés, une évaluation des risques actualisée en continu et un reporting régulier à l’organe de direction. La première désignation de prestataires tiers critiques de services TIC, en novembre 2025, montre que les risques systémiques sont désormais déduits de ces données de registre. Pour les fonctions GRC, ce basculement fait passer de l’enregistrement au pilotage, appuyé sur des indicateurs, des responsabilités définies et des voies d’escalade. En bref Une gouvernance efficace des risques tiers requiert plus qu’un registre de fournisseurs : elle associe des données de registre structurées sur la criticité et la substituabilité à une évaluation des risques actualisée en continu et à un reporting régulier à l’organe de direction. DORA, les orientations de l’ABE sur l’externalisation et la surveillance de la FINMA exigent cette structure, car un registre à lui seul ne corrige pas les insuffisances relevées par les autorités de supervision dans la gestion des prestataires. 19prestataires Prestataires tiers critiques de services TIC désignés pour la première fois par l’ABE, l’AEAPP et l’AEMF au titre de DORA Autorité bancaire européenne, communiqué de presse, 18 novembre 2025 50% Part des cyberattaques réussies visant les prestataires d’établissements financiers, contre environ 25 % auparavant FINMA, communication sur la surveillance 03/2024, 7 juin 2024 1/3 Part des cyberattaques déclarées à la FINMA qui se produisent indirectement via des tiers Moniteur des risques 2024 de la FINMA, cité dans Handelszeitung Insurance, 19 février 2025 ## Qu’exigent les autorités de supervision au-delà de la tenue d’un registre ? En vertu de l’article 28, paragraphe 3, du [règlement DORA](https://www.fma.gv.at/en/cross-sectoral-topics/dora/dora-managing-of-ict-third-party-risk/), les entités financières doivent tenir un registre de l’ensemble des accords contractuels conclus avec des prestataires tiers de services TIC et le communiquer à l’autorité compétente. Au-delà du registre, DORA exige une stratégie relative au risque lié aux prestataires tiers de services TIC, des évaluations de diligence raisonnable préalables au recours à des services TIC, ainsi que des exigences claires sur le contenu des contrats et les stratégies de sortie. L’Autorité bancaire européenne (ABE) impose en outre aux établissements, dans ses orientations relatives à l’externalisation publiées en 2019, d’informer régulièrement l’organe de direction des risques identifiés et de maintenir l’évaluation des risques continuellement à jour. Ces exigences supposent une structure qui va au-delà d’une simple liste de noms : des champs de données sur la criticité, la durée des contrats, la substituabilité et la concentration doivent être tenus à jour et analysés. ## Que montre la désignation des prestataires tiers critiques de services TIC en novembre 2025 ? Le 18 novembre 2025, les autorités européennes de surveillance ABE, EIOPA et ESMA ont désigné pour la première fois 19 [prestataires tiers critiques de services TIC](https://www.eba.europa.eu/publications-and-media/press-releases/european-supervisory-authorities-designate-critical-ict-third-party-providers-under-digital) au titre de DORA, en déduisant des risques de concentration systémiques à partir des données des registres déclarés. Selon l’Autorité européenne des assurances et des pensions professionnelles (EIOPA), cette désignation a suivi un processus en plusieurs étapes : collecte des données issues des registres des entités financières, évaluation de la criticité fondée sur l’importance systémique, rôle joué dans les fonctions critiques et substituabilité, et droit des prestataires concernés d’être entendus. Pour les entités financières, cela signifie que leurs propres données de registre ne servent plus uniquement au pilotage interne, mais alimentent directement une analyse de risque prudentielle. Les recoupements réglementaires entre les orientations de l’ABE, DORA et MaRisk accentuent encore cette exigence. ## Quelles lacunes la FINMA identifie-t-elle dans la gestion des prestataires de services ? Dans sa communication sur la surveillance 03/2024, la FINMA a relevé des lacunes importantes dans la gestion des prestataires de services : inventaires manquants, contrôles incomplets et intégration insuffisante dans le dispositif de contrôle interne. Cette communication s’appuie sur l’article 29, alinéa 2, de la loi sur la surveillance des marchés financiers, qui régit l’obligation de déclaration des cyberattaques et qui est en principe également pertinent pour les gestionnaires de fortune de petite et moyenne taille. La FINMA a également constaté que les cyberattaques visant les prestataires de services d’établissements surveillés aboutissaient plus souvent que la moyenne ; la part de ces attaques réussies est passée au cours des années suivantes de près de 25 à plus de 50 %. La circulaire 2018/3 sur l’externalisation dans les banques et les assurances avait déjà aligné la pratique prudentielle sur une approche fondée sur des principes et laissé davantage l’appréciation du caractère significatif des externalisations à la responsabilité propre des établissements. Une perte de 89 millions d’euros survenue chez un prestataire de services TIC illustre la rapidité avec laquelle des lacunes dans les contrôles peuvent devenir financièrement significatives. ## Quelle structure exige une gouvernance efficace du risque lié aux tiers ? Une gouvernance efficace associe un registre structuré, une évaluation des risques continuellement actualisée et un reporting régulier à l’organe de direction. Selon le Moniteur des risques 2024 de la FINMA, un tiers des cyberattaques contre des établissements financiers déclarées à la FINMA se produisent indirectement par l’intermédiaire de tiers, ce qui souligne l’importance d’une observation continue plutôt que ponctuelle. Une structure de gouvernance doit définir qui évalue la criticité, la concentration et le risque contractuel, à quelle fréquence cette évaluation est actualisée et quels seuils déclenchent une escalade vers la direction générale. Le principe selon lequel la gestion des risques sert l’atteinte des objectifs, et non elle-même, s’applique directement à la gouvernance du risque lié aux tiers. ## Quelle première étape permet de passer de la liste au pilotage ? La première étape consiste à enrichir le registre des fournisseurs existant de champs relatifs à la criticité et à la concentration, afin de permettre une évaluation récurrente plutôt qu’un simple recensement ponctuel. Les responsables de la gestion des risques tiers devraient déterminer, avant la prochaine revue du registre, quels indicateurs sont communiqués régulièrement à la direction générale, par exemple la part de fournisseurs critiques, les constats d’audit ouverts ou les contrats dépourvus de stratégie de sortie documentée. Il est tout aussi important de préciser qui, au sein de l’organisation, est responsable de la mise à jour de l’évaluation des risques et à quelle fréquence celle-ci intervient. Une gouvernance qui répond à ces questions ne satisfait pas automatiquement à toutes les exigences de supervision, mais elle crée le socle sur lequel une telle conformité devient possible. À lire aussi ### De la liste à un pilotage résilient La solution Third-Party Risk Management réunit registre, évaluation des risques et voies d’escalade dans une structure unique, et appuie le reporting à la direction générale sur des données traçables. [Gestion des risques tiers](https://swissgrc.com/fr/tprm-software/) En pratique ## Points clés - Complétez le registre des prestataires tiers de services TIC par des champs relatifs à la criticité, à la substituabilité et à la durée des contrats, comme l’exige l’article 28, paragraphe 3, de DORA. - Mettez en place une évaluation des risques récurrente, communiquée régulièrement à l’organe de direction, conformément aux orientations de l’EBA sur l’externalisation. - Confrontez la gestion interne des prestataires de services aux lacunes relevées par la FINMA : absence d’inventaires, contrôles incomplets, intégration insuffisante dans le dispositif de contrôle interne. - Définissez les seuils à partir desquels un prestataire tiers déclenche une escalade vers la direction générale. - Documentez les stratégies de sortie des contrats critiques avant qu’une autorité de supervision ne les demande. FAQ ## Questions fréquentes Qu’est-ce qui distingue un registre des fournisseurs d’une gouvernance efficace des risques tiers ? Un registre des fournisseurs ne recense que des noms et des contrats. Une gouvernance efficace enrichit ce registre de champs de données sur la criticité, la substituabilité et la concentration, les relie à une évaluation des risques actualisée en continu et garantit un reporting régulier à l’organe de direction, comme l’exigent DORA et les orientations de l’EBA. Qu’exige l’article 28, paragraphe 3, de DORA pour le registre des prestataires tiers de services TIC ? L’article 28, paragraphe 3, de DORA oblige les entités financières à tenir un registre de tous les accords contractuels conclus avec des prestataires tiers de services TIC et à le communiquer à l’autorité de supervision compétente. Au-delà de cette obligation, DORA exige une stratégie relative au risque lié aux prestataires tiers de services TIC, des évaluations de diligence raisonnable avant la conclusion du contrat, ainsi que des exigences claires sur le contenu des contrats et les stratégies de sortie. Combien de prestataires tiers critiques de services TIC ont été désignés au titre de DORA en novembre 2025 ? Le 18 novembre 2025, les autorités européennes de surveillance EBA, EIOPA et ESMA ont désigné pour la première fois 19 prestataires tiers critiques de services TIC au titre de DORA. Cette désignation s’est appuyée sur les données des registres des entités financières, à partir desquelles une évaluation de la criticité a été établie en fonction de l’importance systémique, du rôle dans les fonctions critiques et de la substituabilité. Quelles lacunes la FINMA a-t-elle relevées dans la gestion des prestataires de services ? Dans sa communication sur la surveillance 03/2024, la FINMA a relevé l’absence d’inventaires, des contrôles incomplets et une intégration insuffisante de la gestion des prestataires de services dans le dispositif de contrôle interne. Elle a également constaté que la part des cyberattaques réussies contre les prestataires de services d’établissements assujettis était passée d’environ 25 à plus de 50 %. Quelle part des cyberattaques déclarées contre les établissements financiers passe par des tiers ? Selon le Risk Monitor 2024 de la FINMA, un tiers des cyberattaques contre des établissements financiers signalées à la FINMA se produisent indirectement par l’intermédiaire de tiers. Ce chiffre souligne pourquoi une surveillance continue, et non ponctuelle, des risques tiers est nécessaire. Sources 1. [DORA : gestion du risque lié aux prestataires tiers de services TIC](https://www.fma.gv.at/en/cross-sectoral-topics/dora/dora-managing-of-ict-third-party-risk/)Autorité des marchés financiers autrichienne (FMA) 2. [Désignation des prestataires tiers critiques de services TIC](https://www.eba.europa.eu/publications-and-media/press-releases/european-supervisory-authorities-designate-critical-ict-third-party-providers-under-digital)Autorité bancaire européenne 3. [Désignation des prestataires tiers critiques de services TIC](https://www.eiopa.europa.eu/european-supervisory-authorities-designate-critical-ict-third-party-providers-under-digital-2025-11-18_en)Autorité européenne des assurances et des pensions professionnelles (EIOPA) 4. [La FINMA publie sa circulaire sur l’externalisation](https://www.finma.ch/de/news/2017/12/20171205-mm-rs-outsourcing/)FINMA 5. [Orientations relatives aux accords d’externalisation EBA/GL/2019/02](https://www.eba.europa.eu/documents/10180/2761380/EBA+revised+Guidelines+on+outsourcing_DE.pdf/5546a705-bff2-43eb-b382-e5c7bed3a2bc)Autorité bancaire européenne 6. [Article sur le Risk Monitor 2024 de la FINMA](https://www.handelszeitung.ch/insurance/it-auslagerungen-erhohen-cyberrisiken-drastisch-792082)Handelszeitung Insurance ## Questions fréquentes ### Quelle différence entre un registre des fournisseurs et une gouvernance des risques tiers ? Un registre recense les fournisseurs et les contrats. Une gouvernance efficace l'enrichit de champs sur la criticité, la substituabilité et la concentration, y associe une évaluation des risques actualisée en continu et un reporting régulier à l'organe de direction. ### Que demande l'article 28 de DORA pour le registre des prestataires TIC ? L'article 28, paragraphe 3, impose aux entités financières de tenir un registre de tous les accords contractuels avec des prestataires tiers de services TIC et de le communiquer à l'autorité compétente. DORA exige aussi une stratégie relative à ces prestataires, des évaluations de diligence raisonnable, des exigences sur le contenu des contrats et des stratégies de sortie. ### Combien de prestataires TIC critiques ont été désignés au titre de DORA en novembre 2025 ? Le 18 novembre 2025, 19 prestataires tiers critiques de services TIC ont été désignés pour la première fois par l'ABE, l'AEAPP et l'AEMF. La désignation s'appuie sur les données des registres des entités financières, l'importance systémique, le rôle dans les fonctions critiques et la substituabilité. ### Quelles lacunes la FINMA relève-t-elle dans la gestion des prestataires de services ? La FINMA relève des inventaires manquants, des contrôles incomplets et une intégration insuffisante dans le dispositif de contrôle interne. Elle constate aussi que la part des cyberattaques réussies contre les prestataires d'établissements surveillés est passée d'environ 25 % à plus de 50 %. ### Quelle première étape pour passer du registre au pilotage des risques tiers ? La première étape consiste à enrichir le registre existant de champs sur la criticité et la concentration, pour permettre une évaluation récurrente. Il faut aussi déterminer quels indicateurs sont communiqués à la direction générale, qui met à jour l'évaluation des risques et à quelle fréquence.