Gouvernance des risques tiers : du registre des fournisseurs au pilotage

La gestion des risques tiers exige aujourd’hui davantage qu’une liste de fournisseurs bien tenue. Les autorités de supervision de l’Union européenne et de Suisse imposent des registres structurés, une évaluation des risques actualisée en continu et un reporting régulier à l’organe de direction. La première désignation de prestataires tiers critiques de services TIC, en novembre 2025, montre que les risques systémiques sont désormais déduits de ces données de registre. Pour les fonctions GRC, ce basculement fait passer de l’enregistrement au pilotage, appuyé sur des indicateurs, des responsabilités définies et des voies d’escalade.

Qu’exigent les autorités de supervision au-delà de la tenue d’un registre ?

En vertu de l’article 28, paragraphe 3, du règlement DORA, les entités financières doivent tenir un registre de l’ensemble des accords contractuels conclus avec des prestataires tiers de services TIC et le communiquer à l’autorité compétente. Au-delà du registre, DORA exige une stratégie relative au risque lié aux prestataires tiers de services TIC, des évaluations de diligence raisonnable préalables au recours à des services TIC, ainsi que des exigences claires sur le contenu des contrats et les stratégies de sortie. L’Autorité bancaire européenne (ABE) impose en outre aux établissements, dans ses orientations relatives à l’externalisation publiées en 2019, d’informer régulièrement l’organe de direction des risques identifiés et de maintenir l’évaluation des risques continuellement à jour. Ces exigences supposent une structure qui va au-delà d’une simple liste de noms : des champs de données sur la criticité, la durée des contrats, la substituabilité et la concentration doivent être tenus à jour et analysés.

Que montre la désignation des prestataires tiers critiques de services TIC en novembre 2025 ?

Le 18 novembre 2025, les autorités européennes de surveillance ABE, EIOPA et ESMA ont désigné pour la première fois 19 prestataires tiers critiques de services TIC au titre de DORA, en déduisant des risques de concentration systémiques à partir des données des registres déclarés. Selon l’Autorité européenne des assurances et des pensions professionnelles (EIOPA), cette désignation a suivi un processus en plusieurs étapes : collecte des données issues des registres des entités financières, évaluation de la criticité fondée sur l’importance systémique, rôle joué dans les fonctions critiques et substituabilité, et droit des prestataires concernés d’être entendus. Pour les entités financières, cela signifie que leurs propres données de registre ne servent plus uniquement au pilotage interne, mais alimentent directement une analyse de risque prudentielle. Les recoupements réglementaires entre les orientations de l’ABE, DORA et MaRisk accentuent encore cette exigence.

Quelles lacunes la FINMA identifie-t-elle dans la gestion des prestataires de services ?

Dans sa communication sur la surveillance 03/2024, la FINMA a relevé des lacunes importantes dans la gestion des prestataires de services : inventaires manquants, contrôles incomplets et intégration insuffisante dans le dispositif de contrôle interne. Cette communication s’appuie sur l’article 29, alinéa 2, de la loi sur la surveillance des marchés financiers, qui régit l’obligation de déclaration des cyberattaques et qui est en principe également pertinent pour les gestionnaires de fortune de petite et moyenne taille. La FINMA a également constaté que les cyberattaques visant les prestataires de services d’établissements surveillés aboutissaient plus souvent que la moyenne ; la part de ces attaques réussies est passée au cours des années suivantes de près de 25 à plus de 50 %. La circulaire 2018/3 sur l’externalisation dans les banques et les assurances avait déjà aligné la pratique prudentielle sur une approche fondée sur des principes et laissé davantage l’appréciation du caractère significatif des externalisations à la responsabilité propre des établissements. Une perte de 89 millions d’euros survenue chez un prestataire de services TIC illustre la rapidité avec laquelle des lacunes dans les contrôles peuvent devenir financièrement significatives.

Quelle structure exige une gouvernance efficace du risque lié aux tiers ?

Une gouvernance efficace associe un registre structuré, une évaluation des risques continuellement actualisée et un reporting régulier à l’organe de direction. Selon le Moniteur des risques 2024 de la FINMA, un tiers des cyberattaques contre des établissements financiers déclarées à la FINMA se produisent indirectement par l’intermédiaire de tiers, ce qui souligne l’importance d’une observation continue plutôt que ponctuelle. Une structure de gouvernance doit définir qui évalue la criticité, la concentration et le risque contractuel, à quelle fréquence cette évaluation est actualisée et quels seuils déclenchent une escalade vers la direction générale. Le principe selon lequel la gestion des risques sert l’atteinte des objectifs, et non elle-même, s’applique directement à la gouvernance du risque lié aux tiers.

Quelle première étape permet de passer de la liste au pilotage ?

La première étape consiste à enrichir le registre des fournisseurs existant de champs relatifs à la criticité et à la concentration, afin de permettre une évaluation récurrente plutôt qu’un simple recensement ponctuel. Les responsables de la gestion des risques tiers devraient déterminer, avant la prochaine revue du registre, quels indicateurs sont communiqués régulièrement à la direction générale, par exemple la part de fournisseurs critiques, les constats d’audit ouverts ou les contrats dépourvus de stratégie de sortie documentée. Il est tout aussi important de préciser qui, au sein de l’organisation, est responsable de la mise à jour de l’évaluation des risques et à quelle fréquence celle-ci intervient. Une gouvernance qui répond à ces questions ne satisfait pas automatiquement à toutes les exigences de supervision, mais elle crée le socle sur lequel une telle conformité devient possible.

FAQ

Questions fréquentes

Qu’est-ce qui distingue un registre des fournisseurs d’une gouvernance efficace des risques tiers ?

Un registre des fournisseurs ne recense que des noms et des contrats. Une gouvernance efficace enrichit ce registre de champs de données sur la criticité, la substituabilité et la concentration, les relie à une évaluation des risques actualisée en continu et garantit un reporting régulier à l’organe de direction, comme l’exigent DORA et les orientations de l’EBA.

Qu’exige l’article 28, paragraphe 3, de DORA pour le registre des prestataires tiers de services TIC ?

L’article 28, paragraphe 3, de DORA oblige les entités financières à tenir un registre de tous les accords contractuels conclus avec des prestataires tiers de services TIC et à le communiquer à l’autorité de supervision compétente. Au-delà de cette obligation, DORA exige une stratégie relative au risque lié aux prestataires tiers de services TIC, des évaluations de diligence raisonnable avant la conclusion du contrat, ainsi que des exigences claires sur le contenu des contrats et les stratégies de sortie.

Combien de prestataires tiers critiques de services TIC ont été désignés au titre de DORA en novembre 2025 ?

Le 18 novembre 2025, les autorités européennes de surveillance EBA, EIOPA et ESMA ont désigné pour la première fois 19 prestataires tiers critiques de services TIC au titre de DORA. Cette désignation s’est appuyée sur les données des registres des entités financières, à partir desquelles une évaluation de la criticité a été établie en fonction de l’importance systémique, du rôle dans les fonctions critiques et de la substituabilité.

Quelles lacunes la FINMA a-t-elle relevées dans la gestion des prestataires de services ?

Dans sa communication sur la surveillance 03/2024, la FINMA a relevé l’absence d’inventaires, des contrôles incomplets et une intégration insuffisante de la gestion des prestataires de services dans le dispositif de contrôle interne. Elle a également constaté que la part des cyberattaques réussies contre les prestataires de services d’établissements assujettis était passée d’environ 25 à plus de 50 %.

Quelle part des cyberattaques déclarées contre les établissements financiers passe par des tiers ?

Selon le Risk Monitor 2024 de la FINMA, un tiers des cyberattaques contre des établissements financiers signalées à la FINMA se produisent indirectement par l’intermédiaire de tiers. Ce chiffre souligne pourquoi une surveillance continue, et non ponctuelle, des risques tiers est nécessaire.

Sources

1. DORA : gestion du risque lié aux prestataires tiers de services TICAutorité des marchés financiers autrichienne (FMA)
2. Désignation des prestataires tiers critiques de services TICAutorité bancaire européenne
3. Désignation des prestataires tiers critiques de services TICAutorité européenne des assurances et des pensions professionnelles (EIOPA)
4. La FINMA publie sa circulaire sur l’externalisationFINMA
5. Orientations relatives aux accords d’externalisation EBA/GL/2019/02Autorité bancaire européenne
6. Article sur le Risk Monitor 2024 de la FINMAHandelszeitung Insurance