Registre d'information DORA : recenser vos prestataires TIC sans angle mort

L'essentiel en 30 secondes

Le registre d'information DORA recense et documente l'ensemble des accords contractuels portant sur des services TIC fournis par des prestataires tiers. Il doit être tenu à jour au niveau approprié de l'entité ou du groupe et transmis à l'autorité compétente selon ses modalités.

Ce n'est pas une simple liste de fournisseurs. Le registre relie une entité, un contrat, un service TIC, une fonction métier, un prestataire, ses sous-traitants, des lieux de traitement et une stratégie de sortie.

Le prestataire fournit ses informations. L'entité financière reste responsable du registre.

Pourquoi les registres échouent

Les difficultés apparaissent rarement sur les grands contrats identifiés par la direction. Elles viennent des outils diffus : SaaS métier acheté par une équipe, solution de signature, plateforme de données, prestataire de support, hébergeur indirect, outil de communication ou sous-traitant oublié.

Les erreurs fréquentes :

• limiter le registre aux fournisseurs considérés comme critiques ;
• confondre fournisseur, service et contrat ;
• utiliser des noms commerciaux sans identifiant juridique fiable ;
• ne pas relier le service aux fonctions métier soutenues ;
• ignorer les sous-traitants et les lieux de traitement ;
• oublier les renouvellements, avenants et fins de contrat ;
• laisser des champs libres incohérents entre les entités d'un groupe ;
• attendre la date de remise annuelle pour mettre le registre à jour.

Étape 1 : partir des usages réels, pas seulement de la comptabilité

La comptabilité fournit une première liste de fournisseurs, mais elle ne montre pas toujours le service utilisé ni sa dépendance métier.

Croisez au minimum :

• les achats et factures récurrentes ;
• l'inventaire logiciel et les applications SaaS ;
• les contrats, bons de commande et avenants ;
• les connexions SSO et applications d'entreprise ;
• les sous-traitants déclarés par les fournisseurs ;
• les flux de données et intégrations ;
• les responsables métier et propriétaires d'applications.

L'objectif est de retrouver les services TIC réellement consommés, même lorsqu'ils ont été achetés en dehors de l'IT.

Étape 2 : séparer les objets du registre

Un registre exploitable distingue plusieurs niveaux :

1. L'entité financière qui utilise le service.
2. L'accord contractuel et ses dates.
3. Le prestataire tiers TIC juridiquement engagé.
4. Le service TIC fourni.
5. La fonction métier soutenue par ce service.
6. Les sous-traitants pertinents et leur rôle.
7. Les lieux de fourniture, traitement et stockage.
8. La stratégie de sortie et les solutions de remplacement.

Cette séparation évite de dupliquer ou d'écraser les relations lorsqu'un contrat couvre plusieurs services ou qu'un service soutient plusieurs fonctions.

Étape 3 : qualifier les fonctions critiques ou importantes

DORA demande de distinguer les accords qui soutiennent des fonctions critiques ou importantes. Cette décision appartient à l'entité financière, pas au fournisseur.

Pour la documenter, analysez notamment :

• l'effet d'une interruption sur les clients et obligations réglementaires ;
• l'effet sur la continuité des activités et objectifs commerciaux ;
• la sensibilité et le volume des données ;
• la durée maximale d'indisponibilité acceptable ;
• la substituabilité du service ;
• les dépendances à d'autres prestataires ;
• le risque de concentration.

Le même service peut avoir une criticité différente selon l'entité et l'usage réel.

Étape 4 : collecter les données auprès de chaque prestataire TIC

Préparez un questionnaire standardisé couvrant au minimum :

• raison sociale, adresse et identifiants de l'entité contractante ;
• description et type des services ;
• dates de début, renouvellement et fin ;
• pays de fourniture, traitement et stockage ;
• sous-traitants et chaîne de sous-traitance pertinente ;
• mesures de sécurité et certifications avec leur périmètre ;
• niveaux de service et contacts d'escalade ;
• continuité, sauvegarde et restauration ;
• assistance en cas d'incident ;
• restitution des données et réversibilité ;
• solution de remplacement ou stratégie de sortie.

Ne demandez pas seulement « êtes-vous conforme DORA ? ». Cette question produit une réponse marketing, pas une donnée exploitable.

Étape 5 : instaurer une mise à jour continue

Le registre doit vivre avec les contrats et le système d'information.

Déclenchez une mise à jour lors de :

• la signature d'un nouveau contrat TIC ;
• l'ajout ou la suppression d'un service ;
• un changement de sous-traitant ou de localisation ;
• un avenant important ;
• la requalification d'une fonction ;
• un incident révélant une dépendance inconnue ;
• l'activation ou l'exécution d'une stratégie de sortie.

Attribuez un propriétaire à chaque accord et organisez une revue périodique avec les métiers, les risques, l'IT, les achats et le juridique.

Ce que votre infogérant doit vous fournir

Un infogérant n'est pas automatiquement un « prestataire tiers critique » au sens du dispositif européen de désignation. Il reste cependant un prestataire tiers de services TIC, et ses services peuvent soutenir une fonction critique ou importante.

Il doit pouvoir décrire précisément :

• les services et actifs administrés ;
• les accès délégués et leur contrôle ;
• les outils de supervision et de sécurité ;
• les engagements de service et d'assistance ;
• les lieux et sous-traitants pertinents ;
• les sauvegardes, tests et capacités de reprise ;
• les conditions de restitution et de sortie ;
• les preuves d'exécution disponibles.

Dhala fournit ces informations pour son propre périmètre et publie les éléments vérifiables sur son portail de transparence. Notre page DORA : obligations et preuves opérationnelles replace le registre dans les cinq piliers du règlement. Pour une société de gestion, notre page infogérance et DORA détaille la séparation des responsabilités.

Contrôles qualité avant remise

• Tous les accords de services TIC sont recensés, pas seulement les plus critiques.
• Les entités juridiques et identifiants sont cohérents.
• Chaque contrat est relié à un ou plusieurs services.
• Chaque service est relié aux fonctions qu'il soutient.
• La criticité est justifiée et validée par l'entité.
• Les lieux de traitement et de stockage sont renseignés.
• Les sous-traitants pertinents sont identifiés.
• Les dates et statuts contractuels sont à jour.
• Les stratégies de sortie existent pour les fonctions concernées.
• Le format correspond aux modèles et consignes de l'autorité compétente.

Sources officielles

• Règlement (UE) 2022/2554 — article 28 et gestion des tiers TIC
• Dossier DORA et registre d'information de l'AMF
• FAQ DORA de l'ACPR