Les réglementations européennes autour de la gestion des risques liés aux tiers pour les institutions financières sont de plus en plus strictes, en particulier pour renforcer la résilience des institutions et protéger les données sensibles dans un contexte d’externalisation croissante, notamment vers le cloud.

Les principales réglementations à prendre en compte pour les banques sont les Guidelines de l’EBA sur l’externalisation et DORA (Digital Operational Resilience Act).

Pour se conformer à ces réglementations, les banques et autres institutions financières doivent établir une série de mesures concrètes pour identifier, surveiller et atténuer les risques associés à leurs prestataires de services tiers :

1. Gouvernance et cadre de risque

Politique d’externalisation et gouvernance : Les institutions doivent adopter une politique formelle de gestion des risques liée à l’externalisation, intégrée au cadre global de gestion des risques. Cette politique, validée en théorie par le conseil d’administration, doit inclure des procédures de sélection, d’évaluation et de gestion des prestataires, avec une implication de la direction dans la supervision des risques liés aux tiers.

Responsabilités : La direction est responsable de la supervision des risques et doit clairement définir les rôles et responsabilités dans la gestion des prestataires. La gouvernance doit s’assurer que les critères de sélection et de suivi des tiers sont en place et appliqués.

2. Identification et classification des prestataires tiers critiques 

Inventaire des prestataires tiers : Mettre en place un registre de tous les services externalisés en identifiant les fonctions critiques ou importantes, avec une évaluation régulière des risques et de l’impact potentiel de chaque prestataire sur les activités essentielles de l’institution.

Classification des tiers critiques : Les prestataires doivent être classés en fonction de leur criticité (par exemple, fournisseurs cloud ou numériques essentiels), afin de prioriser les efforts de surveillance et de gestion des risques.

3. Due diligence et évaluation des prestataires 

Évaluation préalable (Due Diligence) : Avant de conclure un contrat, une analyse approfondie des prestataires doit être menée, tenant compte de leur stabilité financière, de la sécurité de l’information, de la gestion des sous-traitants et des pratiques de continuité des activités.

Critères de sélection : Les institutions doivent évaluer les prestataires selon des critères spécifiques, notamment pour les fournisseurs de services critiques, en analysant leurs capacités techniques, leur sécurité et leur conformité réglementaire.

4. Contrats et clauses clés

Clauses contractuelles minimales : Les contrats doivent inclure des clauses définissant des droits d’audit, des exigences de sécurité, des obligations en matière de confidentialité et de protection des données, la gestion des sous-traitants, les procédures de résiliation et les responsabilités en cas d’incidents de sécurité.

Protection des données et sécurité : Des exigences de protection des données (en conformité avec le RGPD) et de sécurité informatique doivent être intégrées dans les contrats pour garantir que les prestataires respectent les normes en vigueur.

5. Surveillance continue et gestion des risques

Surveillance des performances des tiers : Les institutions doivent instaurer des contrôles et indicateurs de performance pour évaluer en continu les prestataires tiers, particulièrement les plus critiques. Cela comprend des audits réguliers pour vérifier leur conformité et performance.

Évaluation des sous-traitants : En cas de sous-traitance par les prestataires, il est essentiel de s’assurer que tous les sous-traitants respectent les mêmes normes, notamment en termes de sécurité et de résilience, pour minimiser les risques sur la chaîne d’approvisionnement.

6. Tests de résilience et de continuité 

Tests de résilience numérique : Les institutions doivent effectuer régulièrement des tests de résilience des systèmes critiques, y compris ceux gérés par des prestataires tiers. Cela inclut des exercices de crise, des simulations de cyberattaques et des tests de continuité d’activité pour évaluer l’efficacité des processus de reprise.

Continuité d’activité et exit plans : Des plans de continuité d’activité doivent être mis en place pour chaque service critique externalisé, incluant des scénarios de défaillance et des options de retour en arrière (rollback). Des stratégies de sortie doivent également être élaborées pour permettre une transition ordonnée en cas de résiliation de contrat.

7. Reporting des incidents et obligations de communication 

Déclaration des incidents majeurs : En cas d’incidents significatifs (ex. faille de sécurité ou interruption de service), les institutions financières doivent notifier les régulateurs dans les délais prescrits. Cela inclut tout incident ayant un impact sur les services tiers critiques ou les infrastructures numériques.

Documentation et transparence : Les institutions doivent documenter les évaluations et contrôles réalisés sur les prestataires tiers et les incidents qui en découlent. Elles doivent assurer une communication claire et transparente avec les régulateurs, en particulier pour les incidents affectant des prestataires tiers critiques.

8. Stratégies de résilience et redondance

Gestion des dépendances critiques : Des solutions de redondance et des options de bascule vers d’autres prestataires ou solutions internes doivent être envisagées pour les services critiques, afin de réduire la dépendance à un fournisseur unique.

Redondance des systèmes et transfert des activités : Pour les infrastructures et services essentiels, il est conseillé d’avoir des systèmes redondants. Il faut aussi prévoir des options pour transférer les activités vers d’autres solutions. Cela aide à réduire les interruptions possibles.

 

Il est à noter que guidelines de l’EBA incluent des règles spécifiques pour l’externalisation vers le cloud et exige :

Planification avancée : Les institutions doivent évaluer les risques de localisation des données, de dépendance au fournisseur et de résilience opérationnelle.

Clarté contractuelle : Les institutions doivent s’assurer que leurs contrats avec les fournisseurs de cloud incluent des dispositions sur la confidentialité des données, la sécurité des informations, l’audit et le reporting.

Surveillance renforcée : Des audits périodiques, des évaluations de conformité et des mécanismes de résilience (notamment des options de retour en arrière ou de migration) sont requis.

Conclusion

En conclusion, les institutions financières doivent mettre en œuvre une approche intégrée pour la gestion des risques liés aux tiers comprenant des politiques de gouvernance, des processus d’évaluation et de sélection rigoureux, des contrats bien définis.

De plus, il est important de surveiller en continu les performances des prestataires. Il faut aussi suivre les plans de continuité. Cela est particulièrement vrai pour les prestataires critiques, comme les fournisseurs de services cloud.

Il est important de faire des tests de résilience. La transparence avec les régulateurs est aussi essentielle. Cela aide à garantir la conformité et la résilience face aux risques externes. Ces mesures garantissent que les institutions peuvent opérer en toute sécurité et maintenir la continuité de leurs services, même en cas de défaillance d’un prestataire critique.