Sous-traitance de fonctions critiques
Régime prudentiel qui autorise l'externalisation d'une activité essentielle tout en maintenant la responsabilité entière chez l'entreprise, avec notification préalable et droit d'accès du superviseur au prestataire.
Externaliser la gestion des sinistres, l'informatique ou la fonction actuarielle est permis ; se décharger de la responsabilité correspondante ne l'est pas. Le régime tient en quatre obligations qui se renforcent. L'entreprise reste pleinement responsable du respect de toutes ses obligations, et le superviseur s'adresse à elle, jamais au prestataire. L'externalisation ne doit pas compromettre la qualité du système de gouvernance, accroître indûment le risque opérationnel, ni nuire à la capacité du superviseur de vérifier la conformité. Toute externalisation d'une activité importante ou critique doit être notifiée préalablement, et un changement important en cours de contrat également. Le contrat doit enfin garantir au superviseur et aux auditeurs un accès effectif aux locaux et aux données du prestataire, y compris lorsque celui-ci est établi hors de l'Union, condition qui bute en pratique sur les grands fournisseurs de services en nuage. DORA a durci cette dernière exigence pour les prestataires de services informatiques en imposant un contenu contractuel minimal et un registre d'information exhaustif, et en soumettant les prestataires jugés critiques à une supervision européenne directe.
Article 49 de la directive 2009/138/CE, complété par le règlement DORA applicable depuis le 17 janvier 2025. Un assureur européen qui migre son système de gestion de polices vers un fournisseur de services en nuage établi aux États-Unis doit notifier l'opération à son superviseur, inscrire le contrat au registre d'information DORA, et obtenir contractuellement un droit d'audit sur site que le fournisseur accorde rarement sans négociation sectorielle.
externalisation, outsourcing, fonction importante ou critique, politique d'externalisation
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.