Vous pouvez externaliser presque tout ; la responsabilité, jamais. Nous concevons et révisons les accords d’externalisation (outsourcing) de votre entité réglementée — y compris le volet TIC au titre de DORA — afin que le recours à des prestataires ne vous laisse pas sans réponse face au superviseur.
Vous allez externaliser (ou vous l’avez déjà fait sans documents) ?
Dites-nous quelles fonctions sont entre les mains de tiers et nous vous indiquons quels contrats, registres et notifications manquent.
De l’inventaire des prestataires au plan de sortie : six services pour que chaque délégation s’appuie sur un contrat, un contrôle et des preuves.
Applicable depuis janvier 2025 : nous adaptons vos contrats technologiques aux clauses obligatoires de l’art. 30, construisons le registre d’informations et structurons votre gestion du risque lié aux tiers TIC.
Déléguer correctement une fonction de contrôle : mandat écrit, accès complet à l’information, reporting direct à l’organe d’administration et preuve continue que le contrôle fonctionne.
Le délégué à la protection des données comme fonction externalisée : indépendance, moyens et articulation avec vos autres prestataires.
Nous intégrons prestataires et délégations dans votre cartographie des risques, avec indicateurs, suivi des incidents et revue périodique.
Ce que vous externalisez doit figurer dans le programme d’activités et étayer l’appréciation de la CNMV sur la suffisance des moyens.
Revue indépendante de vos accords critiques : contrat signé, exécution réelle et plans de sortie mis à l’épreuve.
Quatre entités, quatre dépendances différentes vis-à-vis de tiers. Toutes légitimes ; aucune défendable sans contrat, visibilité et plan B.
« Nous sommes trois : l’administration, la technologie et une partie de la conformité sont à l’extérieur. Nous voulions nous assurer que cette structure reste défendable au titre de la suffisance des moyens. »
« Toute notre activité repose sur un seul prestataire cloud. Avec DORA, nous avons découvert que le contrat ne prévoyait ni audit, ni localisation des données, ni stratégie de sortie. »
« Notre prestataire technologique sous-traite à son tour à deux autres. Nous avons réalisé que nous ne savions pas qui touchait réellement nos données ni depuis quel pays. »
« Chaque service engageait ses prestataires de son côté. La première étape a été de bâtir un inventaire unique et de classer ce qui était réellement critique ou important. »
Externaliser est légal, courant et souvent la meilleure décision. Ce que le superviseur ne pardonne pas, c’est la délégation sans contrat sérieux, sans visibilité et sans sortie.
Déléguer et se désintéresser : la fonction voyage, la responsabilité non. Si le prestataire défaille, le dossier est le vôtre. Le superviseur exige un contrôle effectif et un suivi continu, pas un contrat signé puis oublié dans un tiroir.
Des contrats sans clauses : sans droits d’accès, d’information et d’audit — y compris pour le superviseur —, sans niveaux de service et sans plan de sortie, l’accord est indéfendable. Avec les prestataires TIC, DORA impose en outre un contenu contractuel obligatoire (art. 30).
La chaîne invisible : votre prestataire sous-traite, le sous-traitant sous-traite à son tour et plus personne dans votre entité ne sait où quoi est traité. Sans visibilité sur la chaîne, il n’y a pas de contrôle à défendre.
| Catégorie | Ce que cela couvre | Ce qu’exige la réglementation |
|---|---|---|
| Délégable sous conditions | Fonctions critiques ou importantes : technologie, back-office, administration et fonctions de contrôle dans les limites admises | Contrat écrit, contrôle effectif et suivi continu, droits d’accès et d’audit, plan de sortie et notification au superviseur le cas échéant |
| Non délégable | La responsabilité de l’entité et de son organe d’administration, ainsi que la direction effective de l’activité | L’externalisation ne peut ni vider l’entité de sa substance ni transférer à un tiers ses obligations envers les clients et le superviseur |
| Prestataires TIC au titre de DORA | Services technologiques qui soutiennent des fonctions essentielles ou importantes : cloud, logiciels, données, communications | Depuis janvier 2025 : registre d’informations sur les prestataires, clauses contractuelles obligatoires de l’art. 30 et gestion du risque lié aux tiers |
Nous inventorions vos accords avec des tiers, classons ce qui est critique, renégocions les contrats défaillants, mettons en place le registre d’informations DORA et faisons tester les plans de sortie. Pour que déléguer reste un avantage et non un flanc exposé.
En règle générale, c’est une fonction dont la défaillance ou l’insuffisance compromettrait gravement le respect continu des conditions de l’agrément, les résultats financiers ou la solidité et la continuité des services de l’entité.
Le qualificatif compte, car il déclenche le régime renforcé : contrat au contenu minimal, contrôle intensifié, notification au superviseur selon le cas et plan de sortie. Bien classer — avec des critères écrits — est le premier contrôle du dispositif.
En règle générale, oui, surtout dans les petites entités où la proportionnalité le justifie. Les conditions : un mandat écrit au périmètre clair, un accès complet du prestataire à l’information, un reporting direct à l’organe d’administration et une supervision du service par l’entité.
Ce qui n’est jamais transféré, c’est la responsabilité : la conformité reste la vôtre. C’est ainsi que nous structurons notre service de compliance officer externe, et de façon analogue celui de DPO externe.
Les blocs indispensables :
Si le service est un service TIC et soutient des fonctions essentielles ou importantes, DORA ajoute des clauses obligatoires spécifiques (art. 30).
Les externalisations de fonctions critiques ou importantes doivent être portées à la connaissance du superviseur dans les conditions prévues par la réglementation applicable à votre type d’entité. Pour un nouvel agrément, la répartition entre moyens propres et moyens externalisés fait en outre partie du programme d’activités.
La règle pratique : si la délégation modifie votre structure de moyens, le superviseur s’attend à l’apprendre de vous plutôt qu’à le découvrir lors d’une inspection. Et le registre DORA rend d’office visible une bonne partie de votre cartographie TIC.
C’est l’angle mort classique. Votre contrat doit prévoir si le prestataire peut sous-traiter, à quelles conditions et avec quelle obligation de vous informer, et étendre aux sous-traitants concernés vos droits d’accès et d’audit.
Pour les services TIC, le registre d’informations prévu par DORA oblige aussi à y faire figurer les chaînes de sous-traitance pertinentes : si vous ne savez pas aujourd’hui qui se trouve derrière votre prestataire, vous ne pourrez pas renseigner ce registre avec rigueur.
Le règlement (UE) 2022/2554 (DORA), applicable depuis janvier 2025, fait de la résilience opérationnelle numérique une obligation transversale du secteur financier : gestion du risque TIC, incidents, tests et — ce qui concerne le plus l’outsourcing — un régime spécifique pour le risque lié aux tiers TIC.
Ses deux pièces maîtresses : le registre d’informations de tous les accords avec des prestataires TIC et les clauses contractuelles obligatoires de l’art. 30. Nous les détaillons dans nos services DORA.
Un inventaire structuré de tous vos accords avec des prestataires de services TIC, qui identifie les fonctions soutenues par chacun, leur criticité et les chaînes de sous-traitance pertinentes. Il doit être tenu à jour et rester à la disposition du superviseur.
Bien construit, c’est plus qu’une obligation : c’est le reflet de votre dépendance technologique réelle, la base pour hiérarchiser les renégociations de contrats et les plans de sortie. Mal construit, c’est la première incohérence que relèvera quiconque le contrôlera.
Une stratégie réaliste pour rapatrier la fonction au sein de l’entité ou la migrer vers un autre prestataire si l’actuel défaille, manque à ses obligations ou disparaît : scénarios, responsables, délais, données à récupérer et coûts estimés. Pour les fonctions critiques, ce n’est pas facultatif.
Le niveau d’exigence du superviseur monte chaque année : il ne suffit plus de disposer d’un document, il faut pouvoir démontrer que le plan est exécutable — dépendances identifiées, alternatives sondées et, dans la mesure du possible, éléments testés. Une dépendance irréversible envers un seul prestataire est, en soi, un risque à expliquer.
Trois phases et dix étapes pour passer d’un outsourcing improvisé à un programme gouverné : savoir ce que vous avez, le contractualiser correctement et le contrôler tout au long de sa durée.
Nous réunissons tous les accords avec des tiers dans un référentiel unique — y compris les accords hérités et ceux du groupe — et classons ce qui est une fonction critique ou importante et quel service TIC relève de DORA. Sans cartographie, pas de programme.
Due diligence du prestataire, négociation des clauses exigées par la réglementation — accès, audit, sous-traitance, sortie, art. 30 DORA le cas échéant — et notifications au superviseur le cas échéant. Le contrat est votre principale preuve.
Indicateurs de service, gestion des incidents, droits d’audit réellement exercés, registre d’informations à jour et plans de sortie révisés. Le programme se défend par ce que vous faites chaque trimestre, pas par ce que vous avez signé une fois.
Si vous cherchez à déléguer des fonctions précises avec toutes les garanties, consultez compliance officer externe, DPO externe et la mise en conformité complète à DORA.
Les 10 contrôles de conduite que la CNMV s’attend à voir fonctionner dans une EAF ou une ESI, avec la preuve habituelle pour chacun. Idéal comme autodiagnostic trimestriel avec votre équipe.
Pas de spam. Votre e-mail sert uniquement à vous envoyer cette checklist et, de temps à autre, des actualités réglementaires pertinentes.
La checklist est en cours de téléchargement. Si elle ne démarre pas automatiquement, cliquez ici.
Après lecture, vous avez besoin d’aide pour mettre en œuvre certaines étapes ? Écrivez-nous directement :
Voici le vocabulaire qu’emploient la réglementation, les superviseurs et — de plus en plus — vos propres prestataires lors des négociations. Mieux vaut arriver à cette table en le connaissant.
Fonction dont la défaillance compromettrait gravement l’agrément, les résultats ou la continuité des services de l’entité.
Accord par lequel un tiers réalise un processus, un service ou une activité que l’entité exercerait sinon elle-même.
L’entité et son organe d’administration répondent devant les clients et le superviseur exactement comme si la fonction était interne.
Stratégie pour rapatrier ou migrer la fonction si le prestataire défaille ou si l’accord prend fin : scénarios, délais, données et alternatives.
Les tiers auxquels votre prestataire délègue à son tour. Sans visibilité ni transfert des droits, le contrôle s’évapore.
Le règlement sur la résilience opérationnelle numérique du secteur financier, applicable depuis janvier 2025. Il réorganise le risque lié aux tiers TIC.
Inventaire structuré de tous les accords TIC avec les fonctions soutenues, la criticité et les chaînes de sous-traitance.
Celui qui fournit de façon continue des services numériques et de données : cloud, logiciels, communications, traitement.
Faculté pour l’entité, ses auditeurs et le superviseur d’accéder au prestataire et à son service, de les inspecter et de les auditer.
Critères écrits pour identifier les fonctions critiques ou importantes et les services TIC essentiels, appliqués de manière cohérente.
Politique d’externalisation, inventaire classé et analyse de criticité par accord.
Évaluation préalable du prestataire, proportionnée à la criticité : solvabilité, capacité, sécurité, concentration.
Rapports de due diligence, questionnaires remplis et approbation au niveau adéquat.
Contenu minimal complet : niveaux de service, accès et audit, données, sous-traitance, continuité et sortie ; art. 30 DORA pour les services TIC.
Contrats signés avec les clauses exigibles et matrice de vérification des contenus.
Contrôle effectif pendant toute la durée de l’accord : indicateurs, incidents, revues et audits réellement exercés.
Tableaux de bord des prestataires, comptes rendus de suivi et rapports d’audit du prestataire.
Plans de sortie réalistes pour les fonctions critiques et gestion active du risque de concentration et de dépendance.
Plans de sortie documentés et révisés, alternatives identifiées et tests réalisés.
Cinq phrases que nous entendons souvent lors du premier diagnostic. Chacune est un constat en puissance ; ensemble, un dossier.
Déléguer des fonctions réorganise le contrôle interne, la lutte contre le blanchiment et jusqu’à l’articulation de vos moyens dans la demande d’agrément. Ces pages complètent le tableau pour décider ce qu’il faut sortir et comment le gouverner.
Le conseil juridique récurrent comme service externe : ce qu’il couvre, comment il se structure et ce qu’une petite entité y gagne.
Où se placent les fonctions externalisées dans votre modèle de contrôle pour que déléguer ne brise pas l’architecture.
Le volet lutte contre le blanchiment : ce qui peut s’appuyer sur des externes et ce qui exige une présence interne.
Les structures les plus légères du secteur sont aussi les plus dépendantes de prestataires : voici comment concilier les deux.
Pour des fonctions précises, consultez le compliance officer externe et le DPO externe ; pour le volet technologique, la mise en conformité à DORA ; et si la cartographie des moyens affecte votre licence, l’agrément d’ESI.
Décrivez-nous votre cartographie de prestataires — technologie, back-office, conformité, cloud — et nous examinons avec vous quels accords constituent une fonction critique, ce qu’exige chacun et où se situe votre risque.
Les entités réglementées — ESI, sociétés de gestion, établissements de paiement et de crédit — bâtissent aujourd’hui leur activité sur des tiers : technologie, back-office, administration, fonctions de contrôle. La réglementation ne l’interdit pas ; elle l’encadre. Le cadre de MiFID II, le règlement délégué (UE) 2017/565 et, en Espagne, la loi 6/2023 et le décret royal 813/2023 fixent les règles du jeu pour les fonctions critiques ou importantes, et le règlement (UE) 2022/2554 (DORA) ajoute depuis janvier 2025 un régime spécifique pour les prestataires TIC. Le principe qui commande tout le reste : la tâche se délègue, la responsabilité jamais.
Une fonction est critique ou importante lorsque sa défaillance compromettrait gravement le respect continu des conditions de l’agrément, les résultats financiers ou la solidité et la continuité des services. Cette qualification n’a rien de rhétorique : elle déclenche le régime renforcé — contrat au contenu minimal, contrôle intensifié, notification au superviseur le cas échéant et plan de sortie — et explique pourquoi le premier contrôle de tout programme d’outsourcing est une classification selon des critères écrits. Pour une entité en cours d’agrément, la répartition entre moyens propres et moyens externalisés doit en outre cadrer avec le programme d’activités : une structure vidée de sa substance ne passe pas l’appréciation de la suffisance des moyens.
Quatre conditions soutiennent toute délégation sérieuse. Un contrat écrit avec niveaux de service, droits d’accès, d’information et d’audit — pour l’entité, ses auditeurs et le superviseur —, régime des données, sous-traitance encadrée, continuité et sortie. Un contrôle effectif : indicateurs, suivi, incidents et audits réellement menés, car le superviseur évalue ce que vous faites pendant la vie de l’accord, pas seulement ce que vous avez signé. Une responsabilité intacte : l’entité et son organe d’administration répondent comme si la fonction était interne, ce qui suppose une capacité réelle de surveiller le prestataire. Et un plan de sortie pour ce qui est critique : scénarios de réversion ou de remplacement avec responsables, délais et alternatives identifiées.
Le risque grandit en aval : votre prestataire délègue à un autre, celui-ci à un tiers, et l’entité perd la cartographie de qui traite quoi et depuis où. Un contrat bien construit prévoit si la sous-traitance est possible, à quelles conditions et avec quel devoir d’information, et étend les droits d’accès et d’audit aux sous-traitants pertinents. Parallèlement, les externalisations de fonctions critiques ou importantes sont notifiées au superviseur dans les conditions prévues par la réglementation de chaque type d’entité ; la règle pratique que nous appliquons avec nos clients est simple : si la délégation modifie votre structure de moyens, mieux vaut que le superviseur l’apprenne de vous que lors d’une inspection.
Depuis janvier 2025, DORA superpose au régime général un volet technologique complet : gestion du risque lié aux tiers TIC, registre d’informations reprenant tous les accords avec des prestataires TIC — fonctions soutenues, criticité et chaînes de sous-traitance — et clauses contractuelles obligatoires (art. 30) pour les contrats qui soutiennent des fonctions essentielles ou importantes. Pour de nombreuses entités, l’exercice DORA a révélé la réalité de leur dépendance technologique : contrats cloud sans audit, chaînes opaques et sorties impossibles. Notre équipe associe la revue contractuelle à la construction du registre et à son intégration dans la cartographie des risques : vous trouverez le détail dans nos services DORA, avec l’appui de la fonction de contrôle et de gestion des risques et de l’audit interne.
Textes de référence, avec lien vers le texte officiel :
Textes et liens vérifiés en .