Comment gérer le risque ICT lié aux tiers selon DORA à l'aide de l'IA

Aperçu

Vous apprendrez à mettre en œuvre les exigences de DORA concernant la gestion du risque ICT lié aux tiers selon les articles 28 à 30 à l'aide de l'IA. Ce guide traite de la création et de la maintenance du registre des prestataires tiers de services ICT, de la réalisation des évaluations précontractuelles, de l'intégration des clauses contractuelles obligatoires, de l'évaluation du risque de concentration, de l'élaboration de stratégies de sortie et de la mise en place d'un suivi continu, avec des prompts spécifiques pour ISMS Copilot afin de générer chaque composant.

À qui s'adresse ce guide

Ce guide est destiné aux :

• Responsables des risques liés aux tiers et professionnels de la gestion des fournisseurs au sein des entités financières

• Équipes juridiques et d'approvisionnement responsables des contrats de prestataires de services ICT

• CISO et CRO supervisant le risque lié à la chaîne d'approvisionnement ICT

• Responsables de la conformité veillant à ce que les accords avec les tiers respectent les exigences de DORA

• Consultants conseillant les entités financières sur la gestion des risques liés aux tiers sous DORA

• Prestataires tiers de services ICT cherchant à comprendre les obligations de leurs clients

Avant de commencer

Vous aurez besoin de :

• Un compte ISMS Copilot (essai gratuit disponible)

• Votre inventaire des actifs ICT issu de Comment créer un cadre de gestion des risques ICT DORA avec l'IA (identifie les actifs dépendant de prestataires tiers)

• Une liste de vos prestataires tiers de services ICT actuels et des services qu'ils fournissent

• L'accès aux contrats de services ICT existants pour examen

• Une compréhension des services ICT qui soutiennent vos fonctions critiques ou importantes

• L'accès à vos équipes juridiques, d'approvisionnement et de gestion des fournisseurs

Comprendre les exigences de DORA sur le risque ICT lié aux tiers

Répartition article par article

Le chapitre V, section I de DORA (articles 28 à 30) établit le régime de gestion du risque ICT lié aux tiers le plus complet de la réglementation financière de l'UE :

Article

Titre

Exigences clés

Livrables clés

Art 28

Principes généraux

Politique de risque ICT lié aux tiers, registre de tous les prestataires, évaluation précontractuelle, suivi continu, responsabilité de l'organe de direction

Politique de risque ICT lié aux tiers, registre des prestataires, procédures d'évaluation

Art 29

Évaluation préliminaire du risque de concentration ICT

Évaluer le risque de concentration avant de conclure de nouveaux accords, examiner la substituabilité, la localisation des données, les risques opérationnels liés à la concentration

Évaluation du risque de concentration, analyse des dépendances

Art 30

Dispositions contractuelles clés

Clauses contractuelles obligatoires : SLA, droits d'audit, localisation des données, support incident, dispositions de sortie, contrôle de la sous-traitance

Bibliothèque de clauses contractuelles, liste de contrôle de révision des contrats, modèles d'avenants

Le périmètre du risque ICT lié aux tiers sous DORA

DORA adopte une vision large du risque ICT lié aux tiers. Les exigences s'appliquent à tous les services ICT obtenus auprès de tiers, et pas seulement aux accords d'externalisation. Cela inclut :

• Services cloud : Fournisseurs IaaS, PaaS, SaaS (AWS, Azure, Google Cloud, Salesforce, etc.)

• Fournisseurs de systèmes de base : Core banking, traitement des paiements, plateformes de trading

• Services gérés : Sécurité gérée (SOC), opérations informatiques gérées, services de réseau gérés

• Services de données : Analyse de données, fournisseurs de données de marché, services de scoring de crédit

• Services de communication : SWIFT, réseaux de paiement, plateformes de messagerie

• Fournisseurs de logiciels : Applications d'entreprise, outils de sécurité, technologie réglementaire

• Fournisseurs d'infrastructure : Colocalisation de centres de données, connectivité réseau, services CDN

Étape 1 : Créer votre registre des prestataires tiers de services ICT (Article 28)

Création du registre

L'article 28(3) exige que les entités financières tiennent à jour un registre d'informations relatif à tous les accords contractuels pour des services ICT. Ce registre doit être mis à la disposition de l'autorité compétente sur demande et faire l'objet d'un rapport annuel via des modèles standardisés.

1. Ouvrez votre espace de travail DORA dans ISMS Copilot

2. Générez le modèle de registre :

   "Crée un modèle de registre des prestataires tiers de services ICT qui satisfait à l'article 28(3) de DORA et aux normes techniques de réglementation associées. Inclus des champs pour : l'identification du prestataire (nom légal, LEI, juridiction, société mère), l'identification du contrat (référence du contrat, date de début, date de renouvellement, période de préavis), la description du service (services ICT fournis, catégorie de service, modèle de livraison), la fonction soutenue (fonction critique ou importante : oui/non, nom de la fonction métier), la classification des données (types de données traitées, localisation des données incluant pays et région, mécanismes de transfert), la sous-traitance (sous-traitants utilisés, localisation du sous-traitant, détails du service sous-traité), le résumé de l'évaluation des risques (note de risque, date de la dernière évaluation, conclusions clés), le statut de conformité contractuelle (clauses obligatoires DORA présentes : oui/partiel/non), le statut de la stratégie de sortie (plan de sortie élaboré : oui/non, date du dernier test) et date de dernière révision. Inclus des notes d'orientation pour chaque champ et des exemples d'entrées pour les types de prestataires courants (cloud, core banking, sécurité gérée)."

3. Remplissez le registre systématiquement :

   "Aide-nous à identifier et catégoriser tous les prestataires tiers ICT pour notre registre. Nous sommes une [type d'entité] utilisant les services ICT suivants : [liste des services et prestataires connus]. Pour chaque prestataire, aide-nous à classer : s'ils soutiennent des fonctions critiques ou importantes, les données qu'ils traitent et leur localisation, les accords de sous-traitance à investiguer, la note de risque basée sur la criticité du service et la dépendance au prestataire, et la priorité de révision du contrat. Identifie également les catégories de prestataires que nous aurions pu oublier : fournisseurs DNS, autorités de certification, processeurs de paiement, flux de données du marché, outils de reporting réglementaire, prestataires de sauvegarde et PRA, fournisseurs d'identité et opérateurs de télécommunications."

Maintenance du registre et reporting

Le registre n'est pas un exercice ponctuel. Établissez des procédures de maintenance continue :

"Crée une procédure pour maintenir et mettre à jour le registre des prestataires tiers de services ICT sous DORA. Inclus : les déclencheurs de mise à jour (nouveaux contrats, modifications contractuelles, changement de prestataire, changement de sous-traitance, réévaluation des risques), les responsabilités et flux de travail de mise à jour, les contrôles d'assurance qualité, le processus de révision annuelle complète, les exigences de reporting à l'autorité compétente (soumission annuelle au format RTS), le reporting à l'organe de direction (résumé de l'état du registre, concentrations de risques, lacunes de conformité) et l'intégration aux processus d'achat (mise à jour du registre comme étape obligatoire pour tout nouvel achat ICT). Fournis une liste de contrôle pour la révision annuelle du registre."

Étape 2 : Réaliser des évaluations précontractuelles (Article 28)

Cadre de diligence raisonnable

Avant de conclure ou de renouveler un accord de service ICT, DORA exige une évaluation approfondie du prestataire et de l'accord. La profondeur de l'évaluation doit être proportionnée à la criticité de la fonction soutenue.

1. Générez le cadre d'évaluation :

   "Crée un cadre d'évaluation précontractuelle des prestataires tiers ICT pour l'article 28 de DORA. Inclus les domaines d'évaluation : stabilité financière et viabilité du prestataire, capacités et certifications de sécurité ICT (ISO 27001, SOC 2, CSA STAR), capacités de gestion d'incidents et de notification, capacités de continuité des activités et de reprise après sinistre, conformité à la protection des données et à la vie privée (alignement RGPD), pratiques et transparence de la sous-traitance, antécédents de conformité réglementaire, évaluation des risques géographiques (localisation des données, juridiction, stabilité politique), capacités de support à la sortie et à la transition, et réputation du prestataire. Pour chaque domaine, fournis : des questions d'évaluation, les preuves à demander, les critères de notation (adéquat, nécessite des améliorations, inadéquat) et les signaux d'alarme. Crée deux niveaux de profondeur : évaluation standard (services non critiques) et évaluation renforcée (services soutenant des fonctions critiques ou importantes). Fournis un modèle de rapport d'évaluation."

2. Créez un questionnaire de sécurité prestataire :

   "Crée un questionnaire détaillé d'évaluation de la sécurité ICT pour évaluer les prestataires tiers ICT sous DORA. Couvre : la gouvernance et l'organisation (leadership sécurité, politiques, certifications), la gestion des accès (authentification, autorisation, accès privilégiés), la protection des données (chiffrement au repos et en transit, gestion des clés, classification des données), la sécurité réseau (segmentation, surveillance, détection d'intrusion), la gestion des incidents (capacités de détection, procédures de réponse, délais de notification), la continuité des activités (BCP/DRP, capacités RTO/RPO, fréquence des tests), la gestion des vulnérabilités (scan, correctifs, délais de remédiation), la gestion des changements (tests, approbation, retour arrière), la sécurité du personnel (vérifications d'antécédents, formation, sensibilisation), la sécurité physique (sécurité du centre de données, contrôles environnementaux), et la sous-traitance (risque lié au quatrième niveau). Inclus des questions fermées (oui/non) et ouvertes. Fournis des conseils de notation."

Évaluation des risques avant l'engagement

Utilisez ISMS Copilot pour évaluer des types ou noms de prestataires spécifiques :

"Nous envisageons [nom/type de prestataire] pour [description du service] soutenant une [fonction critique/importante/standard]. Réalise une évaluation des risques précontractuelle alignée sur DORA. Examine : la capacité du prestataire à respecter les clauses contractuelles DORA (Article 30), la localisation des données et les implications de transfert, la transparence de la sous-traitance, l'alignement de la notification d'incidents avec notre délai DORA de 4 heures, l'auditabilité (droit d'audit, accès aux rapports), la faisabilité de la sortie (portabilité des données, support à la transition, risques d'enfermement), les implications du risque de concentration (dépendons-nous déjà de ce prestataire pour d'autres services ?) et les considérations réglementaires de notre autorité compétente. Fournis une évaluation notée par risque avec une recommandation sur la poursuite ou non de l'engagement."

Étape 3 : Mettre en œuvre les clauses contractuelles obligatoires (Article 30)

Comprendre les exigences de l'Article 30

L'article 30 précise les éléments obligatoires devant figurer dans les contrats de services ICT. Les exigences sont encore plus pointues pour les services soutenant des fonctions critiques ou importantes. C'est souvent l'aspect le plus fastidieux.

1. Générez la bibliothèque de clauses contractuelles :

   "Crée une bibliothèque complète de clauses contractuelles DORA Article 30 pour les accords de services ICT. Pour chaque exigence, fournis : la référence à l'article, un modèle de clause (prêt pour révision juridique), des notes explicatives et des conseils de négociation. Couvre toutes les exigences de l'Article 30 : description claire du service avec objectifs de performance quantitatifs et qualitatifs, lieux de traitement des données (stockage, traitement, sauvegarde) avec notification préalable des changements, obligations de protection des données et confidentialité, garanties de disponibilité, authenticité, intégrité et accessibilité, SLA avec indicateurs mesurables, obligations de notification d'incidents (alignées sur DORA, exigeant une notification du prestataire permettant de respecter notre délai de 4h), coopération avec les autorités compétentes, droits d'audit (accès aux rapports ou audits sur site ou via certifications tierces), dispositions de résiliation et périodes de transition adéquates, participation à la sensibilisation à la sécurité ICT. Pour les services critiques, ajoute des clauses renforcées : description complète des fonctions et sous-fonctions, objectifs de performance avec pénalités, obligations de PCA/PRA et tests, reporting régulier sur la sécurité et les changements majeurs, assistance à la sortie (restitution des données, support migration), exigences de sous-traitance (approbation préalable, transfert des clauses DORA, droit d'opposition) et droit de suivi permanent sans restriction."

2. Créez une liste de contrôle pour la révision des contrats :

   "Crée une liste de contrôle de conformité contractuelle DORA Article 30. Pour chaque exigence, fournis : la description, le statut (conforme/partiel/non conforme), la référence à la clause actuelle, la description de l'écart, le texte d'avenant recommandé et la priorité (critique pour services critiques/importants, standard pour les autres). La liste doit être utilisable par les équipes juridiques. Inclus un mécanisme de score sommaire pour identifier les contrats à renégocier d'urgence."

Stratégies de négociation

Utilisez ISMS Copilot pour préparer les discussions :

"Crée une stratégie de négociation de contrat DORA pour [type de prestataire, ex: fournisseur cloud majeur / core banking]. Réponds aux objections courantes : 'Nous ne pouvons pas accorder de droit d'audit individuel' (discuter de l'usage des rapports SOC 2, audits groupés), 'Nous ne pouvons garantir la localisation exacte' (exigences DORA, attentes régulateurs), 'Nos SLA standards ne sont pas négociables' (exigences minimales DORA), 'Nous n'acceptons pas de responsabilité illimitée' (approches proportionnées), 'Nos délais de notification sont de 24-48h' (besoin de respecter les 4h DORA). Pour chaque objection, fournis : la base légale DORA, les alternatives acceptables, les positions de compromis et les stratégies d'escalade."

Étape 4 : Évaluer et gérer le risque de concentration (Article 29)

Comprendre le risque de concentration ICT

L'article 29 impose d'évaluer le risque de concentration ICT avant de conclure un accord et de façon continue. Ce risque survient lorsqu'une dépendance excessive envers un prestataire (ou un petit groupe) crée une vulnérabilité systémique.

1. Générez le cadre d'évaluation du risque de concentration :

   "Crée un cadre d'évaluation du risque de concentration ICT selon l'article 29 de DORA. Inclus : définition du périmètre, méthodologie couvrant la dépendance à un seul prestataire (combien de fonctions?), à un groupe (société mère/filiale), à une pile technologique, concentration géographique (plusieurs services dans une même région), évaluation de substituabilité, concentration de la chaîne (plusieurs fournisseurs dépendant du même sous-traitant critique) et concentration du marché. Inclus les critères, mesures, seuils de risque et stratégies d'atténuation. Crée un modèle de tableau de bord pour l'organe de direction."

2. Réalisez une analyse de concentration :

   "Sur la base de notre registre, effectue une analyse de risque de concentration. Nos prestataires sont : [liste des prestataires/services clés]. Analyse : quels prestataires soutiennent plusieurs fonctions critiques, les dépendances de groupe, la concentration géographique, la disponibilité d'alternatives sur le marché, le risque systémique en cas de défaillance majeure du prestataire le plus critique et les dépendances du quatrième niveau (ex: plusieurs éditeurs utilisant le même cloud). Note le risque et recommande des actions d'atténuation."

Atténuation du risque de concentration

Une fois les risques identifiés, élaborez des stratégies :

"Pour chaque risque de concentration élevé identifié, propose des stratégies d'atténuation : stratégie multi-prestataires, approches multi-cloud ou hybrides, maintien de capacités internes en repli, protections contractuelles (SLA renforcés, arrangements d'entiercement), mesures de portabilité technologique (éviter l'enfermement propriétaire), diversification géographique et feuilles de route de diversification progressive. Pour chaque stratégie, fournis : étapes de mise en œuvre, estimation calendaire, coûts, risque résiduel et points de décision pour l'organe de direction."

Étape 5 : Élaborer des stratégies de sortie (Article 28)

Exigences de la stratégie de sortie

DORA exige des stratégies de sortie pour les services ICT soutenant des fonctions critiques ou importantes. Elles doivent garantir que la résiliation ou le transfert ne perturbe pas les services, ne compromette pas les données et ne réduise pas la conformité.

1. Générez des modèles de stratégie de sortie :

   "Crée des modèles de stratégie de sortie conformes à l'article 28 de DORA pour les services critiques. La stratégie doit inclure : événements déclencheurs (faillite, rupture de contrat, risque de concentration), planification de la transition (cible : concurrent, internalisation), calendrier et jalons, plan de migration des données (extraction, format, validation, suppression chez le prestataire), besoins en transfert de connaissances, période de fonctionnement en parallèle, besoins en ressources, plan de communication, tests de validation de la solution alternative, clauses contractuelles de support et évaluation des risques du processus de sortie lui-même. Crée des modèles pour : sortie du cloud, remplacement de système de base et transition de services gérés."

2. Établissez des tests de stratégie de sortie :

   "Crée des procédures pour tester les stratégies de sortie des prestataires critiques. Inclus : fréquence (au moins annuelle), types de tests (simulation sur table, extraction partielle de données, preuve de concept fournisseur tiers, simulation complète de transition), scénarios (sortie planifiée, sortie forcée sans coopération, insolvabilité), critères de réussite, documentation et reporting des résultats. Fournis un calendrier de tests aligné sur notre programme général de tests de résilience DORA."

Étape 6 : Établir un suivi continu (Article 28)

Suivi continu des prestataires

DORA exige un suivi permanent, pas seulement des audits ponctuels. L'intensité doit être proportionnelle à la criticité :

1. Générez le cadre de suivi :

   "Crée un cadre de suivi continu des prestataires ICT tiers selon l'article 28. Inclus : suivi des SLA (disponibilité, temps de réponse), posture de sécurité (certifications, vulnérabilités publiées), stabilité financière (notations, actualités marché), notifications d'incidents (rapidité, exhaustivité), changements de sous-traitance, évolutions réglementaires et changements matériels de livraison. Précise la fréquence (continu, mensuel, annuel), les sources de données, le rôle responsable, les critères d'escalade et la documentation. Fournis un modèle de tableau de bord de suivi."

2. Définissez les procédures de revue de performance :

   "Crée une procédure de revue de performance prestataire pour la conformité DORA. Inclus : fréquence (trimestrielle pour le critique, annuelle pour le standard), ordre du jour type (SLA, sécurité, incidents, conformité), participants, procédures d'escalade en cas de sous-performance et modèles de reporting. Fournis un modèle de rapport de revue périodique."

Supervision de la sous-traitance

Le suivi doit s'étendre au-delà de vos prestataires directs :

"Crée une procédure de supervision de la sous-traitance pour DORA. Inclus : exigences contractuelles de transparence, obligations de divulgation des sous-traitants par le prestataire, critères d'évaluation des sous-traitants matériels, suivi des changements dans la chaîne, évaluation des risques de quatrième niveau, transfert des exigences DORA et procédures d'escalade en cas de risque de concentration accru. Fournis un modèle de registre de sous-traitance."

Étape 7 : Gouvernance et reporting à l'organe de direction

Politique de risque ICT lié aux tiers

L'article 28(2) exige une politique sur l'utilisation des services ICT soutenant des fonctions critiques. Elle doit être approuvée par l'organe de direction :

"Crée une Politique de Gestion du Risque ICT lié aux Tiers pour l'article 28(2). Inclus : objectif, périmètre, responsabilités de l'organe de direction, appétence au risque (concentrations acceptables, restrictions géographiques), exigences d'évaluation précontractuelle, standards contractuels, obligations de suivi, exigences de sortie, rôles (gestionnaire du risque tiers, CISO, achats) et fréquence de révision. Rends-la adaptée à une validation par la direction générale."

Reporting à l'organe de direction

Maintenez la direction informée via un reporting structuré :

"Crée un kit de reporting à l'organe de direction sur les risques tiers DORA. Inclus : résumé du registre (total, critiques, nouveaux), tableau de bord de concentration, statut de conformité contractuelle (%), performance des prestataires (incidents majeurs, SLA), état de préparation des stratégies de sortie et recommandations de décisions. Fournis un modèle trimestriel et annuel."

Étape 8 : Considérations transfrontalières et de groupe

Gestion du risque au niveau du groupe

Si vous faites partie d'un groupe, la gestion doit être coordonnée :

"Aborde les considérations de groupe pour le risque ICT lié aux tiers. Nous faisons partie de [structure du groupe]. Aide-nous à : consolider le registre (identifier les prestataires partagés), coordonner les négociations, aligner les standards d'évaluation, partager les résultats de suivi et coordonner les stratégies de sortie. Fournis un cadre de coordination de groupe."

Exigences de localisation des données transfrontalières

L'Article 30 impose de spécifier les lieux de traitement. Pour le transfrontalier :

"Analyse la localisation des données pour nos accords ICT selon l'article 30. Nos prestataires traitent des données dans [pays/régions]. Évalue : conformité RGPD (adéquation, transferts), restrictions locales sur les données financières, risques juridiques des juridictions tierces et obligations de notification de changement de lieu. Donne des recommandations pour chaque service à risque."

Prochaines étapes

Vous disposez maintenant d'un dispositif complet :

• Registre complet des prestataires tiers ICT avec données standardisées

• Cadre d'évaluation précontractuelle avec questionnaire de sécurité

• Bibliothèque de clauses contractuelles et liste de contrôle Article 30

• Cadre d'évaluation et stratégies d'atténuation de la concentration

• Modèles de stratégie de sortie et procédures de tests

• Cadre de suivi continu et procédures de revue de performance

• Politique de risque tiers et reporting à la direction

Ceci conclut la série de guides en cinq parties. Consultez la série complète :

• Comment débuter la mise en œuvre de DORA avec l'IA -- Fondations : périmètre, gouvernance, analyse d'écarts

• Comment créer un cadre de gestion des risques ICT DORA avec l'IA -- Pilier 1 : Cadre, politiques et contrôles

• Comment mettre en œuvre le reporting d'incidents DORA avec l'IA -- Pilier 2 : Classification et rapports

• Comment planifier les tests de résilience DORA avec l'IA -- Pilier 3 : Programme de tests, TLPT, remédiation

• Comment gérer le risque ICT lié aux tiers selon DORA avec l'IA (ce guide) -- Pilier 4 : Prestataires et contrats

Pour des prompts prêts à l'emploi sur chaque article, consultez la Bibliothèque de Prompts de Conformité DORA. Pour une vue d'ensemble, référez-vous au Guide de Conformité DORA pour les Entités Financières.

Obtenir de l'aide

Pour un soutien supplémentaire :

• Demandez à ISMS Copilot : Utilisez votre espace de travail pour générer des analyses de clauses ou des rapports de concentration

• Téléchargez des contrats : Obtenez une analyse ciblée de conformité Article 30 en téléchargeant vos accords de service existants

• Préparation à la négociation : Utilisez l'IA pour préparer des argumentaires et des propositions de clauses alternatives

• Validez les résultats : Revoyez les clauses avec votre équipe juridique et vérifiez les critères selon les RTS pertinents