Orientations EBA 2026 sur le risque lié aux tiers : piloter les prestataires non-TIC selon la logique DORA

Les entités financières recourent de plus en plus à des prestataires tiers de services (TPSP) — et accroissent ainsi les risques pour elles-mêmes, leurs clients et, parfois, le système financier (p. 4). L'EBA en tire deux conséquences : l'externalisation devient un sous-ensemble de l'accord avec un tiers, notion plus large (point 17), et l'écart avec DORA est comblé — DORA régit le risque lié aux tiers TIC, les orientations le risque non-TIC, avec l'attente d'une approche globale sur les deux univers (point 7 ; exposé des motifs, point 11).

La base juridique réside dans les mandats de gouvernance des actes sectoriels : art. 74(3) CRD, art. 26 IFD, art. 34 MiCAR et art. 11 PSD2 (exposé des motifs, point 15 ; synthèse des réponses, p. 67). Formellement, ce sont des orientations au titre de l'art. 16 du règlement (UE) n° 1093/2010 : autorités compétentes et entités financières mettent tout en œuvre pour s'y conformer ; chaque autorité déclare sous deux mois si elle les applique (points 1–3 ; synthèse des réponses, p. 68).

Au niveau international, l'EBA s'inscrit dans la lignée du toolkit du FSB du 4 décembre 2023 et des BCBS Principles for the sound management of third-party risk du 10 décembre 2025, dont s'inspire la définition de l'accord avec un tiers (p. 55, 59 ; synthèse des réponses, p. 75) ; les ESMA Principles on third-party risks du 12 juin 2025 ne s'adressent qu'aux autorités nationales compétentes (synthèse des réponses, p. 66).

La consultation sur EBA/CP/2025/12 s'est déroulée du 8 juillet au 8 octobre 2025 et a recueilli 72 réponses (synthèse des réponses, p. 65). L'EBA a rejeté les critiques visant son mandat et les reproches de double réglementation (p. 67–68) ; sur la proportionnalité, elle a cédé — recentrage sur les fonctions critiques ou importantes, registre allégé, critères de proportionnalité au titre I (p. 68–69). À la demande d'un délai de neuf à dix-huit mois, elle a répondu par la période transitoire de deux ans ; qui n'est pas prêt à temps en informe l'autorité compétente (p. 78 ; point 20).

Dans le rapport final, la date d'application est un espace réservé : les orientations s'appliquent, à partir d'une date fixée lors de la publication des traductions, à tous les accords conclus, réexaminés ou modifiés à compter de ce jour (point 18) ; les accords existants doivent être réexaminés et adaptés (point 19).

L'objet est constitué des dispositifs de gouvernance applicables lorsque des prestataires tiers fournissent des services non-TIC à l'appui de fonctions — avec un accent sur les fonctions critiques ou importantes (point 5) ; le « soutien » inclut la fourniture complète de la fonction (note 20). Les services TIC au sens de l'art. 3(21) DORA sont exclus, car ils relèvent du chapitre V de DORA (point 7). Les autorités compétentes examinent les accords dans le cadre du SREP prévu à l'art. 97 CRD et de ses équivalents dans IFD, PSD2, EMD et MiCAR (point 6).

Ce qui n'est pas couvert : les exclusions du point 33

• Les prestations qui, en vertu de la loi, doivent être fournies par un tiers — par exemple le contrôle légal des comptes
• Les services financiers réglementés que la loi réserve à une autre entité financière régulée par le droit de l'UE, par exemple la conservation ou les plates-formes de négociation
• Les services d'information de marché — ajoutés à la demande des répondants à la consultation (synthèse des réponses, p. 79)
• Les opérations financières entre établissements financiers agissant en tant que contreparties et avec les banques centrales
• Les infrastructures de réseaux de paiement comme Visa, Mastercard, Wero ou le GIE CB, et les accords de compensation et de règlement entre chambres de compensation, contreparties centrales, organismes de règlement et leurs membres
• Les infrastructures mondiales de messagerie financière soumises à une surveillance publique, comme SWIFT, ainsi que les relations de correspondance bancaire
• Les prestations sans incidence notable sur le risque ou la résilience : architectes, impression, avis juridiques, contentieux, RP, nettoyage, entretien des bâtiments, services médicaux, flotte, traiteur, cantine, services de bureau, de voyage, de courrier et d'accueil
• Achats de biens (cartes plastiques, lecteurs de cartes, fournitures de bureau, PC, mobilier) et services collectifs (électricité, gaz, eau, téléphone)

C'est le service qui est exclu, non le prestataire : une entité financière supervisée qui fournit d'autres prestations est un TPSP comme un autre ; sa supervision est prise en compte dans la proportionnalité et l'analyse des risques (p. 69–71). Et les exclusions ne dispensent pas de la gestion des risques — des mesures appropriées restent attendues (note 41).

Les prestataires intragroupe et les prestataires centraux d'un système de protection institutionnel (IPS) sont des TPSP — sans régime particulier, car les accords intragroupe ne sont pas en soi moins risqués (exposé des motifs, point 19 ; synthèse des réponses, p. 71) ; la flexibilité vient des fonctions centralisées des points 26–30. Un TPSP intragroupe situé dans un pays tiers est traité comme TPSP de pays tiers dans l'analyse des risques (synthèse des réponses, p. 75).

Le test s'inscrit dans la gestion globale des risques couvrant toutes les lignes d'activité et unités internes (point 31). Il est effectué avant toute conclusion d'accord (point 68 a) et doit être ancré dans la politique comme étape de planification (point 48 d).

1. 1
   Étape 1S'agit-il d'un service non-TIC ?

   Si le service est un service TIC au sens de l'art. 3(21) DORA ou si sa composante TIC est essentielle à sa fourniture, DORA s'applique (points 31 a, 32). Tout le reste poursuit le test.

2. 2
   Étape 2Une fonction est-elle soutenue de manière récurrente ou continue ?

   Une fonction est tout processus, tout service, toute activité — ou une partie de ceux-ci (point 17). Les achats ponctuels ne constituent pas un accord avec un tiers (point 31 b). Vérifiez ensuite les exclusions du point 33.

3. 3
   Étape 3La fonction est-elle critique ou importante ?

   Alors seulement s'appliquent politique (point 47), champs supplémentaires du registre (point 62), due diligence renforcée (point 79), clauses contractuelles étendues (point 85), droits d'audit illimités (point 98) et plan de sortie (point 114). Les autres accords relèvent du régime de base (point 31 c).

Est critique ou importante une fonction dont la perturbation nuirait sensiblement aux performances financières de l'entité financière, à la solidité ou à la continuité de ses services et activités, ou au respect continu des conditions de son agrément et de ses autres obligations au titre de la législation sur les services financiers (point 17). La formulation correspond à l'art. 3(22) DORA (exposé des motifs, point 13). Elle n'est pas identique aux « fonctions critiques » au sens de l'art. 2(1), point 35, BRRD, mais les englobe (note 35 ; exposé des motifs, point 13).

Un accord qui couvre plusieurs fonctions — par exemple des tâches opérationnelles de gestion des risques et le reporting prudentiel — doit être évalué conjointement sous tous ses aspects (point 32).

L'organe de direction définit, approuve et réexamine régulièrement une stratégie relative au risque lié aux tiers, qui inclut la politique visée à la section 6 et complète la gestion du risque opérationnel ainsi que la résilience opérationnelle ; des stratégies intégrées ou distinctes pour les TIC et le non-TIC sont admises (point 38 ; synthèse des réponses, p. 83). Le recours à des TPSP n'entraîne jamais une délégation de responsabilité (point 41) et ne réduit ni les exigences d'aptitude applicables à l'organe de direction et à la direction générale, ni le besoin de ressources compétentes (point 43). Le point 42 a–h énumère ce dont l'organe de direction reste responsable à tout moment — des conditions d'agrément aux stratégies, à l'appétit pour le risque et aux politiques en matière de conflits d'intérêts, jusqu'à la surveillance de l'ensemble des risques liés aux tiers, à la politique de continuité d'activité et aux plans d'audit interne.

Proportionnalité et structures de groupe

Proportionnalité signifie : des dispositifs de gouvernance adaptés au profil de risque, à la nature, au modèle d'affaires, à l'ampleur et à la complexité des activités (point 23). Par accord comptent la complexité de la fonction, les risques, la criticité et l'incidence sur la continuité (point 24) ; les critères du titre I des orientations EBA sur la gouvernance sous CRD, IFD et MiCAR s'appliquent par analogie (point 25).

La politique doit être réexaminée au moins une fois par an et mise à jour si nécessaire ; les modifications sont à répercuter rapidement et dès que possible dans les relations contractuelles, et l'organe de direction veille à sa mise en œuvre aux niveaux individuel, sous-consolidé et consolidé (point 47). L'EBA a refusé de supprimer le rythme annuel — il ne serait pas contraignant si rien n'a changé, et il est cohérent avec DORA (synthèse des réponses, p. 85). Il appartient à l'entité financière de décider si la politique d'externalisation de 2019 et la nouvelle politique forment un seul document.

En outre, la politique doit appréhender les effets du recours à des TPSP pour des fonctions critiques ou importantes sur quatre domaines et les intégrer dans les décisions : profil de risque, capacité à surveiller le TPSP et à gérer les risques, mesures de continuité d'activité et performance de l'activité (point 50).

Trois sections voisines relèvent, sur le fond, de la politique. Les conflits d'intérêts doivent être identifiés, évalués et gérés ; pour les TPSP intragroupe, les conditions, prix compris, doivent être objectives, et les synergies peuvent être intégrées dans le prix tant que le TPSP reste viable de manière autonome — au sein d'un groupe, indépendamment de la défaillance d'autres entités du groupe (points 51–53). La continuité d'activité exige des plans régulièrement testés associant le TPSP et une analyse d'impact sur l'activité fondée sur des critères quantitatifs et qualitatifs, une analyse de scénarios et un examen de la substituabilité (points 54–55). L'audit interne contrôle selon une approche fondée sur les risques, inscrit les accords critiques dans son plan d'audit, évalue le cadre, l'évaluation de la criticité et des risques, l'implication des instances et le suivi, et mène un processus formel de suivi des constats (points 56–57).

Le registre recense tous les accords avec des tiers entrant dans le champ d'application — aux niveaux individuel, sous-consolidé et consolidé — et distingue les fonctions critiques ou importantes des autres ; les sous-traitants TIC d'un TPSP non-TIC qui soutiennent effectivement un service critique ou important doivent y figurer (point 58). Les accords résiliés restent documentés pendant une durée appropriée ; le délai de cinq ans initialement prévu a été aligné sur DORA (point 59 ; synthèse des réponses, p. 90). Les groupes et les IPS peuvent tenir le registre de manière centralisée, à condition que chaque établissement obtienne sans délai son registre individuel (points 60, 28 d).

Mise à disposition et notifications à l'autorité compétente

Sur demande, l'autorité compétente reçoit le registre, en tout ou partie, sous forme électronique exploitable — le format de l'ITS DORA, par exemple base de données ou CSV, est admis (point 63) — ainsi que toute information nécessaire, jusqu'aux copies de contrats (point 64). Les accords envisagés pour des fonctions critiques ou importantes et le cas où une fonction le devient sont notifiés en temps utile, le cas échéant dans le dialogue prudentiel, avec au moins les informations des points 61 et 62 (point 65) ; de même pour les modifications significatives et les événements graves (point 66). Évaluations et résultats du suivi sont documentés (point 67). Les orientations ne fixent aucun délai ; des notifications centralisées par le groupe sont possibles (synthèse des réponses, p. 77–78, 92).

Les fonctions soumises à agrément — activités bancaires, services de paiement, émission d'ART ou services d'investissement au sens de l'art. 4, point 2, MiFID II, dans une mesure requérant un agrément ou un enregistrement — ne peuvent être confiées qu'à un TPSP agréé ou enregistré à cet effet, ou autrement habilité en vertu du droit national (point 69 ; section 11.1). Si le TPSP est établi dans un pays tiers, trois conditions cumulatives s'appliquent (point 70) :

1. 1
   Condition 1Agrément et supervision dans le pays tiers

   Le TPSP est agréé ou enregistré dans le pays tiers pour cette activité et y est supervisé par une autorité compétente (point 70 a).

2. 2
   Condition 2Accord de coopération entre autorités

   Un accord de coopération approprié existe entre l'autorité compétente de l'entité financière et l'autorité du pays tiers, par exemple un Memorandum of Understanding ou un accord de collège (point 70 b).

3. 3
   Condition 3Quatre droits minimaux de l'autorité compétente

   L'accord garantit à l'autorité de l'UE au minimum : des informations sur demande, l'accès aux données, documents, locaux et personnel dans le pays tiers, une information aussi rapide que possible sur les infractions présumées et une coopération en matière d'exécution (point 70 c).

Analyse des risques (section 11.2)

Due diligence (section 11.3)

• La profondeur de l'examen est proportionnée à la criticité de la fonction (point 77).
• Pour chaque TPSP : modèle d'affaires, taille, complexité, solidité financière, structure de propriété et de groupe ; capacité opérationnelle et technique et antécédents ; appartenance à un groupe ; supervision (point 78).
• Pour les fonctions critiques ou importantes, en plus : réputation, expertise, capacité et ressources ; contrôles internes et gestion des risques, y compris les risques de la chaîne d'approvisionnement ; dépendances géographiques ; plans de continuité, d'urgence et de reprise ; agréments requis sur la durée du contrat ; auditabilité effective, y compris sur place, par l'établissement, ses mandataires et l'autorité compétente (point 79).
• Le recours prévu à des sous-traitants pour des parties significatives est à inclure (point 80) ; pour des données personnelles ou confidentielles, les mesures techniques et organisationnelles du TPSP sont à examiner (point 81).

La cinquième étape — les conflits d'intérêts — suit la section 7 (points 51–53) et doit être documentée avec un soin particulier pour les TPSP intragroupe.

Le point 83 exige que les droits et obligations de l'entité financière et du prestataire tiers de services (TPSP) soient clairement répartis et consignés par écrit. Conséquence : contrat-cadre, commandes individuelles et fiches de prestation doivent couvrir ensemble le contenu minimal du point 84 — pour chaque accord entrant dans le champ d'application, quelle que soit sa criticité.

Dix éléments obligatoires pour chaque accord (point 84 a–j)

Six clauses supplémentaires pour les fonctions critiques ou importantes (point 85 a–f)

Le point 86 ajoute, pour les TPSP notamment établis dans des pays tiers : sans préjudice du RGPD (règlement (UE) 2016/679), les différences entre droits nationaux de la protection des données sont à prendre en compte. Le contrat oblige le TPSP à protéger les informations confidentielles, personnelles ou autrement sensibles et à respecter toutes les obligations de protection des données applicables à l'entité financière elle-même — y compris, expressément, le secret bancaire et les devoirs de confidentialité comparables envers les clients.

Tenez les éléments a–j et a–f comme liste de contrôle des clauses par contrat, reliée aux champs du registre (points 61–62). Les éléments manquants des contrats existants sont ce qu'il faut renégocier pendant la période transitoire de deux ans (points 19–20).

Le point 87 pose le cadre : l'accord précise si la sous-traitance est admise et à quelles conditions. Les sous-traitants ne réduisent en rien la responsabilité ultime de l'organe de direction. Les entités financières ont besoin d'une « vision claire et globale » de la chaîne et se concentrent sur les sous-traitants qui soutiennent effectivement le service non-TIC — ceux-là sont inscrits au registre conformément au point 88 (point 62 c).

Ce que le contrat doit prévoir en matière de sous-traitance (point 89 a–j)

• a — les activités exclues de la sous-traitance
• b — les conditions à respecter en cas de sous-traitance
• c — l'obligation du TPSP d'évaluer et de gérer les risques liés à la localisation des sous-traitants actuels ou potentiels, de leur société mère et du lieu d'exécution
• d — l'obligation du TPSP de surveiller les fonctions sous-traitées afin que toutes les obligations contractuelles restent remplies en continu
• e — les obligations de reporting du TPSP concernant les sous-traitants de fonctions critiques ou importantes
• f — l'obligation du TPSP d'inscrire dans ses contrats de sous-traitance des obligations de suivi et de reporting des sous-traitants à son égard et, si cela a été convenu, à l'égard de l'entité financière
• g — l'obligation de continuité : le TPSP garantit la fonction sur l'ensemble de la chaîne, même si un sous-traitant manque à ses obligations
• h — les droits en chaîne : le sous-traitant accorde à l'entité financière ainsi qu'aux autorités compétentes et de résolution les mêmes droits d'accès, d'inspection et d'audit que le TPSP
• i — le sous-traitant met en œuvre en temps utile les modifications contractuelles nécessaires au respect du droit de l'Union et des présentes orientations
• j — l'entité financière documente et communique le calendrier de ces modifications

Le déroulement de la procédure : notification, délai, décision (points 90–94)

1. 1
   Étape 1Notification par le TPSPpoint 90

   Le TPSP notifie les nouveaux contrats de sous-traitance et les modifications significatives envisagées suffisamment tôt pour que l'entité financière puisse en évaluer les effets sur ses risques et sur l'exécution du contrat par le TPSP.

2. 2
   Étape 2Délai appropriépoint 91

   Le contrat prévoit un délai de notification approprié pendant lequel l'entité financière peut approuver la sous-traitance ou s'y opposer.

3. 3
   Étape 3Évaluation au regard de la tolérance au risquepoint 93

   Si la sous-traitance ou la modification dépasse la tolérance au risque, l'entité financière en informe le TPSP avant l'expiration du délai, s'y oppose et exige des ajustements — avant la conclusion du contrat de sous-traitance ou la mise en œuvre de la modification.

4. 4
   Étape 4Mise en œuvre seulement après accord ou expiration du délaipoint 92

   Le TPSP ne peut conclure le contrat de sous-traitance ou mettre en œuvre la modification qu'avec l'accord de l'entité financière, ou si celle-ci ne s'est pas opposée avant la fin du délai.

5. 5
   Étape 5Identification et suivi continuspoint 94

   Le TPSP identifie tous ses sous-traitants et surveille ceux qui assurent des fonctions critiques ou importantes ou des parties significatives de celles-ci.

La chaîne devient ainsi un objet de contrôle. Le point 75 exige déjà, au stade de l'analyse des risques, d'évaluer comme un risque à part entière les sous-traitants établis dans des pays tiers et les chaînes longues et complexes, parce qu'ils réduisent la capacité de surveillance de l'entité financière et de l'autorité compétente. Le registre mentionne les sous-traitants de parties significatives avec leur rang dans la chaîne (point 62 c ; champs au chapitre 6). Qui n'obtient pas ces données n'a pas un problème de chaîne, mais un problème de contrat.

Cas limite avec DORA : les sous-traitants TIC d'un prestataire non-TIC qui soutiennent effectivement son service au profit d'une fonction critique ou importante relèvent eux aussi du registre non-TIC selon le point 58 — la frontière suit la prestation principale, non la chaîne.

Le point 96 commence par l'organisation interne : le contrat doit permettre à l'audit interne de contrôler, selon une approche fondée sur les risques, la fonction exécutée par le TPSP. Le point 97 s'applique aux établissements relevant de la CRD indépendamment de la criticité : chaque contrat renvoie aux pouvoirs d'information et d'enquête des autorités compétentes et de résolution prévus à l'article 63(1)(a) de la BRRD et à l'article 65(3) de la CRD — pour les TPSP établis dans un État membre comme dans un pays tiers.

Selon le point 101, les entités financières fixent la fréquence et le périmètre des audits selon une approche fondée sur les risques et suivent les normes d'audit reconnues. Pour employer plus efficacement les ressources d'audit, le point 102 autorise deux instruments : les audits groupés, menés conjointement avec d'autres clients du même TPSP ou par un tiers mandaté en commun, ainsi que les certifications et rapports d'audit établis par des tiers ou par l'audit interne du TPSP.

Les huit conditions applicables aux certificats et rapports d'audit (point 104 a–h)

Avant une inspection sur place planifiée, le TPSP reçoit un préavis raisonnable, sauf en situation d'urgence ou de crise ou lorsque l'annonce priverait le contrôle de son efficacité (point 105). Dans les environnements multi-clients, les risques pour les autres clients — niveaux de service, disponibilité des données, confidentialité — doivent être évités ou atténués (point 106). En cas de forte complexité, l'entité financière doit vérifier que son audit interne, le pool d'audit ou les prestataires externes mandatés disposent des compétences nécessaires ; il en va de même pour les collaborateurs qui évaluent les certificats et les audits réalisés par des tiers (point 107).

Selon le point 108, des droits de résiliation doivent exister, conformément au droit applicable, notamment dans cinq situations. Le point 109 exige, pour les fonctions critiques ou importantes, que le contrat facilite le transfert vers un autre TPSP ou la réinternalisation : obligations du TPSP sortant en cas de transfert, y compris le traitement des données, période de transition appropriée pendant laquelle il continue d'exécuter le service après la résiliation, et obligation d'assistance pour une transition ordonnée.

• Point 108 a — manquement grave du TPSP aux lois, réglementations ou dispositions contractuelles
• Point 108 b — circonstances identifiées lors du suivi et susceptibles de modifier l'exécution du service
• Point 108 c — modifications significatives telles qu'une sous-traitance ou un changement de sous-traitants
• Point 108 d — faiblesses avérées dans la gestion des risques ou dans la sécurité des données confidentielles, à caractère personnel, autrement sensibles ou non personnelles
• Point 108 e — l'autorité compétente ne peut plus surveiller efficacement l'entité financière en raison des conditions du contrat

Selon le point 110, le suivi est fondé sur les risques et, pour les fonctions critiques ou importantes, continu. L'analyse des risques prévue à la section 11.2 est régulièrement mise à jour, l'organe de direction reçoit des rapports périodiques sur les risques et, en cas de changement significatif du risque, de la nature ou de l'ampleur d'une fonction, sa criticité est réévaluée. Le point 111 exige de surveiller les risques de concentration internes — y compris au niveau des sous-traitants. En présence de défaillances avérées ou potentielles, des mesures correctives doivent être prises ou le contrat résilié (point 113).

Selon le point 114, des stratégies de sortie doivent être documentées pour toutes les fonctions critiques ou importantes, en cohérence avec la stratégie et les plans de continuité, et couvrir au moins six scénarios. Le point 115 exige une sortie sans perturbation indue de l'activité, sans restriction de la conformité et sans préjudice pour les clients : les plans de sortie sont réalistes, réalisables, fondés sur des scénarios plausibles, documentés et, lorsque cela est approprié, suffisamment testés — par exemple au moyen d'une analyse des coûts, des impacts, des ressources et du calendrier d'un changement de prestataire. Les solutions alternatives et les plans de transition tiennent compte de la localisation des données et assurent la continuité pendant la période de transition.

• Point 114 a — résiliation de l'accord avec le tiers
• Point 114 b — défaillance du TPSP
• Point 114 c — risque de concentration au niveau de l'entité et sortie potentiellement difficile
• Point 114 d — dégradation de la qualité et interruptions d'activité avérées ou potentielles dues à une exécution défaillante
• Point 114 e — risques significatifs pour la fourniture continue de la fonction
• Point 114 f — manquement grave du TPSP aux lois, réglementations ou conditions contractuelles

Le point 116 exige en outre d'intégrer l'analyse de scénarios prévue au point 73, de définir les objectifs de la stratégie de sortie, d'attribuer les rôles, les responsabilités et des ressources suffisantes, et de fixer des critères de réussite pour le transfert des services et des données détenues par le TPSP.

Trois questions ouvrent l'analyse : un accord constitue-t-il une modification significative des conditions de l'agrément initial (point 117) ? L'autorité peut-elle surveiller efficacement l'entité financière — notamment parce que les contrats imposent au TPSP les droits d'accès et d'audit de la section 12.2 (point 118) ? Et où cette analyse a-t-elle lieu ? Au minimum dans le SREP ; pour les établissements de paiement, dans d'autres processus de surveillance tels que les demandes ad hoc ou les inspections sur place (point 119).

Les risques de concentration identifiés font l'objet d'un suivi continu par l'autorité compétente, qui en évalue les effets sur les autres entités financières et sur la stabilité du système financier ; elle signale à l'autorité de résolution toute nouvelle fonction potentiellement critique au sens de la BRRD (point 125). Lorsque des fonctions critiques ou importantes sont fournies hors de l'UE/EEE, l'autorité doit être convaincue de sa capacité à exercer une surveillance efficace (point 127). Les autorités coopèrent étroitement et échangent des informations en temps utile — en particulier sur la concentration sectorielle (point 128).

Les pouvoirs d'intervention sont gradués (point 126) : en l'absence de gouvernance robuste ou de conformité réglementaire, l'autorité compétente peut limiter le périmètre des services non-TIC pour les fonctions critiques ou importantes, ou exiger la sortie d'un ou de plusieurs accords. Si la surveillance ne peut être assurée autrement, la résiliation ou la suspension temporaire de contrats entre en ligne de compte — en tenant compte de la nécessité de poursuivre l'activité.

Pour le dialogue SREP : l'EBA a écarté toute autorisation ex ante (analyse coûts-avantages, option B : principes de haut niveau). S'appliquent à la place une information en temps utile et, le cas échéant, un dialogue prudentiel sur les accords critiques envisagés (point 65), ainsi que la fourniture du registre, sur demande, sous une forme électronique exploitable (point 63).

Le résumé exécutif formule l'objectif : combler l'écart avec DORA, permettre une approche globale et aligner étroitement les deux cadres — au service de conditions de concurrence équitables et de la convergence prudentielle (p. 4). La définition de la fonction critique ou importante est « fully consistent » avec DORA (p. 5, point 17). Trois dispositions autorisent expressément le regroupement (rôle, politique, registre) ; deux briques supplémentaires découlent du parallélisme des deux régimes.

Sur le plan méthodologique, ISO/IEC 27001:2022, avec les mesures A.5.19 à A.5.23 (relations fournisseurs, sécurité des accords fournisseurs, chaîne d'approvisionnement TIC, suivi et gestion des changements des services fournisseurs, usage du cloud), et ISO/IEC 27036 (sécurité de l'information dans les relations fournisseurs) fournissent l'ossature de contrôle pour représenter les deux régimes dans un même système de management — dans des plateformes comme VamiGRC, un modèle de données unique à deux vues.

Le regroupement est une option, non une obligation (points 49, 61). Qui tient deux registres doit éviter les divergences (point 61) — concrètement : une seule base de données.

À compter de la date d'application, les orientations s'appliquent à tous les accords conclus, revus ou modifiés à partir de cette date (point 18) ; les accords existants doivent être revus et adaptés (point 19). Pour les fonctions critiques ou importantes, une période transitoire de deux ans s'applique — qui n'a pas terminé à cette échéance informe l'autorité compétente des mesures envisagées ou d'une éventuelle stratégie de sortie (point 20). Les accords non critiques ne sont revus qu'à leur renouvellement (point 21). L'EBA a délibérément retenu cette option B2 pour réduire la pression de renégociation (p. 58–59).

1. 1
   Phase 0Mobilisation — avant la date d'applicationpoint 38–44

   Mandat de l'organe de direction, rôle selon le point 44 c (combiné avec le rôle DORA), inventaire de tous les contrats non-TIC, analyse d'écarts au regard des points 84–85, 61–62 et 48–49, décision sur l'architecture d'intégration.

2. 2
   Phase 1Les 90 premiers jours à compter de la date d'applicationpoint 31–37, 61

   Test en trois étapes et criticité pour tous les accords, champs de base du registre (point 61), priorisation des contrats critiques selon leur date de renouvellement, politique approuvée (point 47), processus pour les nouveaux accords — auxquels le point 18 s'applique immédiatement — et canal de notification vers l'autorité compétente (point 65).

3. 3
   Phase 2Mois 4 à 12 : contrat et chaînepoint 84–95, 98

   Renégociation des accords critiques : jeu de clauses des points 84–85, règles de sous-traitance des points 89–95, droits d'audit du point 98, données des sous-traitants (point 62 c), diligence raisonnable actualisée (points 77–82), champs complémentaires du registre (point 62), reporting KPI/KCI (point 112).

4. 4
   Phase 3Mois 13 à 24 : tests de sortie et éléments probantspoint 56, 101–104, 115

   Tester les plans de sortie lorsque cela est approprié (point 115), plan d'audit de l'audit interne (point 56), premiers audits propres ou groupés (points 101–104), rapports à l'organe de direction (point 110) — et, là où la revue ne s'achève pas à temps, dialogue prudentiel avant le mois 24 (point 20).

5. 5
   Phase 4À partir du mois 24 : fonctionnement courantpoint 21, 47, 110, 119

   Mettre à niveau les accords non critiques lors de leur renouvellement (point 21), revoir la politique chaque année (point 47), réévaluer la criticité en cas de changement significatif (point 110), fournir le registre sous forme électronique sur demande (point 63), préparation au SREP (point 119).

Le programme suit la proportionnalité : les entités financières moins complexes peuvent confier le rôle à un membre de l'organe de direction (point 44 c), recourir à des analyses de risques qualitatives (point 73) et tenir le registre de façon centralisée au niveau du groupe ou de l'IPS (point 60).

Date d'application : le rapport final de l'EBA (Final Report) contient la mention réservée « [date] » (points 18, 20, 22) ; l'EBA présente les orientations comme « final and awaiting translation ». Tant que les traductions ne sont pas publiées, le mois 0 reste inconnu — planifiez par rapport à la date d'application et mettez ce temps à profit pour la phase 0.