DORA : constituer le registre d'informations des prestataires TIC, mode d'emploi
DORA : CONSTITUER LE REGISTRE D'INFORMATIONS DES PRESTATAIRES TIC, MODE D'EMPLOI
Le registre d'informations est l'une des exigences les plus concrètes — et les plus laborieuses — de DORA. Voici comment le construire sans se perdre.
IMPACTS POUR LES ORGANISATIONS
- ▸Non-conformité réglementaire exposant à des sanctions financières.
- ▸Atteinte à la réputation et perte de confiance des parties prenantes.
- ▸Obligation de mise en conformité sous contrainte de délais.
Analyse
Parmi les obligations du règlement DORA, le registre d'informations occupe une place particulière : c'est un livrable tangible, au format normé, que les autorités peuvent demander. Beaucoup d'entités financières le découvrent tard et sous-estiment le travail de recensement. Voici notre méthode.
À quoi sert le registre ?
Le registre d'informations recense l'ensemble des accords contractuels portant sur des services TIC fournis par des tiers. Il permet à l'entité — et à son autorité de supervision (ACPR ou AMF en France) — d'avoir une vision complète de sa dépendance informatique externe : qui fournit quoi, pour quelles fonctions, avec quels sous-traitants.
Les briques à rassembler
- la liste de vos prestataires TIC et de leurs identifiants (dont le code LEI lorsqu'il existe) ;
- les contrats en cours et leurs caractéristiques : nature du service, dates, possibilité de résiliation ;
- le rattachement de chaque contrat aux fonctions critiques ou importantes qu'il soutient ;
- la chaîne de sous-traitance pour les services qui soutiennent une fonction critique ;
- les mesures en place : droit d'audit, localisation des données, stratégie de sortie.
La cartographie des fonctions critiques d'abord
L'erreur la plus fréquente consiste à démarrer par la liste des contrats. Or le registre n'a de sens que rattaché aux fonctions critiques ou importantes. Commencez donc par identifier ces fonctions, puis remontez aux services TIC et aux prestataires qui les soutiennent. Cela évite d'inventorier pour inventorier.
Le format normé
La structure du registre est fixée par une norme technique d'exécution européenne : tables liées (entité, prestataires, contrats, fonctions, sous-traitants), champs obligatoires, nomenclatures imposées. Mieux vaut adopter ce format dès le départ plutôt que de reconstruire un tableur maison.
Le maintenir vivant
Un registre figé perd sa valeur. Intégrez sa mise à jour à votre processus achats : tout nouveau contrat TIC, tout changement de sous-traitant doit s'y refléter. C'est aussi l'occasion de vérifier que vos contrats intègrent les clauses imposées par l'article 30 de DORA.
Pour aller plus loin, consultez notre guide DORA complet ou demandez un accompagnement sur le chantier prestataires.