Signer avec un hébergeur, un éditeur SaaS ou un opérateur de sécurité ne consiste plus seulement à négocier un prix et un SLA. Pour les entités financières concernées, DORA impose d’intégrer le risque lié aux prestataires ICT dans le cadre global de gestion des risques. La due diligence doit précéder le contrat, être proportionnée à la criticité du service et laisser des preuves exploitables dans le registre d’informations. Cette checklist relie les exigences des textes à un dossier d’achat concret.
En bref. Avant le contrat, classez la fonction supportée, identifiez précisément le prestataire et sa chaîne de sous-traitance, vérifiez ses capacités et ses standards de sécurité, mesurez le risque de concentration, négociez les droits de contrôle et préparez la sortie. RiskSonnar peut renforcer le volet identité, structure, intégrité et situation financière ; il ne remplace pas l’audit technique ou contractuel DORA.
Qui doit appliquer cette due diligence DORA
Le règlement (UE) 2022/2554 s’applique depuis le 17 janvier 2025 aux catégories d’entités financières qu’il énumère, avec les adaptations et exemptions prévues par le texte. Il couvre la gestion interne du risque numérique, la notification des incidents, les tests de résilience et le risque lié aux tiers ICT.
La question initiale n’est donc pas « notre fournisseur est-il DORA ? », mais « notre entité entre-t-elle dans le champ et quelle fonction ce contrat supporte-t-il ? ». Un même outil peut être accessoire pour une équipe et soutenir une fonction critique ou importante pour une autre. La qualification doit être portée par les métiers, la gestion des risques, la sécurité, le juridique et les achats.
L’article 28 demande notamment d’évaluer, avant une relation contractuelle, si le service soutient une fonction critique ou importante, les risques pertinents, la concentration, la possibilité de substitution et l’aptitude du prestataire. Cette décision détermine la profondeur du contrôle et les clauses attendues.
Étape 1 : qualifier le service et son niveau de criticité
Documentez le service attendu avec assez de précision pour éviter les catégories vagues comme « cloud » ou « logiciel ». Listez les processus métiers dépendants, les données traitées, les utilisateurs, les pays de traitement, les interfaces, les objectifs de reprise et les conséquences d’une indisponibilité, d’une altération ou d’une fuite.
Posez ensuite quatre questions :
- Une interruption compromettrait-elle matériellement la continuité d’un service financier, le respect d’une obligation ou la qualité d’un service au client ?
- Existe-t-il une solution de remplacement crédible dans le délai acceptable ?
- Le prestataire ou un sous-traitant accède-t-il à des données sensibles ou à des environnements de production ?
- Plusieurs fonctions dépendent-elles de la même technologie, du même groupe ou de la même région ?
Consignez l’analyse et son approbation. Une étiquette de criticité sans justification ne permet ni de calibrer la diligence ni d’expliquer la décision à un auditeur.
Étape 2 : identifier l’entité contractante et le groupe
Le nom commercial du produit n’est pas toujours celui de la société signataire. Relevez la dénomination légale, l’identifiant de registre, le siège, la juridiction, le numéro LEI ou EUID lorsqu’il existe, les dirigeants et la société mère ultime. Vérifiez aussi que l’entité qui fournit réellement le service correspond à celle qui porte les obligations contractuelles.
Une cartographie de la structure de groupe fait apparaître les dépendances invisibles : deux prestataires apparemment distincts peuvent appartenir au même groupe ; un sous-traitant clé peut se trouver dans une autre juridiction ; le cocontractant peut n’être qu’une filiale commerciale sans ressources opérationnelles propres.
Conservez les identifiants dans un format réutilisable. Le règlement d’exécution 2024/2956 encadre les modèles du registre d’informations et prévoit des identifiants permettant de rapprocher les entités. Un nom libre saisi différemment dans chaque ligne rend l’analyse de concentration peu fiable.
Étape 3 : conduire la due diligence du prestataire ICT
Le règlement délégué 2024/1773 précise les éléments à considérer. Transformez-les en demandes de preuve et attribuez un propriétaire à chaque contrôle.
| Dimension | Questions de diligence | Preuves possibles | Responsable |
|---|---|---|---|
| Réputation et intégrité | L’entité et ses dirigeants présentent-ils des incidents, sanctions ou contentieux pertinents ? | Registres, sanctions, presse, déclarations du fournisseur. | Conformité / achats. |
| Capacité opérationnelle | Dispose-t-elle des ressources humaines, techniques et financières nécessaires ? | Organisation, comptes, références, capacité, plan de continuité. | Métier / finance. |
| Sécurité de l’information | Les standards et contrôles sont-ils adaptés au service et aux données ? | Politiques, certifications dans leur périmètre, rapports d’audit, tests. | RSSI. |
| Sous-traitance | Qui exécute les fonctions matérielles, où et avec quels changements possibles ? | Liste des sous-traitants, localisation, flux, notifications contractuelles. | Juridique / RSSI. |
| Audit et coopération | Peut-on obtenir les informations, accéder, auditer et coopérer avec les autorités ? | Clauses, rapports tiers, modalités d’accès et de test. | Juridique / risque. |
| Sortie | Peut-on reprendre les données et migrer sans rupture excessive ? | Plan de sortie, formats, délais, assistance, test de réversibilité. | Métier / IT. |
Une certification n’est pas une conclusion automatique. Vérifiez son périmètre, son entité titulaire, sa période de validité et son rapport avec le service acheté. De la même façon, une société financièrement solide ne garantit pas que ses contrôles de sécurité sont adaptés.
Étape 4 : mesurer la concentration et les chaînes de sous-traitance
Le risque de concentration existe lorsqu’une défaillance unique peut toucher plusieurs fonctions ou entités. Il se cache derrière les marques : plusieurs logiciels peuvent utiliser le même hyperscaler, le même service d’identité ou la même région. Construisez une vue par prestataire légal, groupe ultime, service technique, localisation et sous-traitant clé.
Pour chaque dépendance, estimez l’exposition, la substituabilité, le délai de migration et les obstacles à la sortie. Testez aussi le scénario de disparition d’une fonctionnalité, de rupture contractuelle ou de restriction géopolitique. Le but n’est pas d’interdire toute concentration — parfois inévitable — mais de connaître le point de défaillance et d’avoir une réponse proportionnée.
Étape 5 : relier le contrat, le registre et le suivi continu
Le contrat doit traduire les risques identifiés : description des services, lieux de traitement, disponibilité et intégrité, assistance en cas d’incident, accès aux informations, droits d’audit, coopération, sous-traitance, restitution des données, résiliation et transition. Pour une fonction critique ou importante, les attentes sont renforcées ; la revue juridique doit travailler à partir du texte applicable et de la qualification interne.
En parallèle, créez ou mettez à jour l’entrée du registre d’informations. Évitez de constituer le registre plusieurs mois après la signature : les identifiants, fonctions, chaînes de sous-traitance et dates sont plus fiables lorsqu’ils sont capturés pendant l’achat.
Enfin, programmez le suivi : changement de contrôle, dégradation financière, sanction, incident majeur, modification d’un sous-traitant, expiration d’une preuve, changement de pays ou de service. Le monitoring continu des fournisseurs doit déclencher une revue ciblée, pas seulement une alerte sans propriétaire.
La fiche de décision avant signature
Une bonne diligence se termine par une décision lisible. Réunissez sur une page : service et fonctions soutenues, criticité motivée, identité et groupe du prestataire, risques résiduels, concentrations, exceptions, clauses obtenues, plan de sortie, contrôles à suivre, responsables et approbateurs.
| Décision | Quand l’utiliser | Condition minimale |
|---|---|---|
| Approuver | Les preuves sont suffisantes et les risques résiduels acceptés. | Contrat, registre et suivi alignés. |
| Approuver sous conditions | Un écart est compensable dans un délai maîtrisé. | Mesure, responsable, échéance et droit de sortie formalisés. |
| Escalader | Concentration forte, fonction critique ou exception structurante. | Décision du niveau de gouvernance compétent. |
| Refuser | Preuve essentielle absente, risque inacceptable ou sortie irréaliste. | Motif conservé et alternative étudiée. |
Ce que RiskSonnar couvre, et ce qui reste à auditer
RiskSonnar peut accélérer la partie « connaître le prestataire » : identité légale, groupe et mandats, bénéficiaires effectifs disponibles, sanctions, procédures, éléments financiers et signaux réputationnels. Le rapport permet de conserver les sources consultées et leurs limites dans le dossier d’achat. La méthode est détaillée sur la page sources et méthodologie.
RiskSonnar ne certifie pas la conformité DORA d’un fournisseur. Il n’évalue pas à lui seul les contrôles de cybersécurité, le périmètre d’une certification, les clauses contractuelles, les capacités de reprise, les tests techniques ou la qualité réelle du plan de sortie. Ces volets exigent des preuves fournies par le prestataire et l’analyse de spécialistes.
Questions fréquentes
DORA impose-t-il d’éviter les prestataires cloud majeurs ?
Non. Le texte demande d’identifier et de gérer le risque de concentration, la substituabilité et les scénarios de sortie. Une concentration peut être acceptée si elle est connue, gouvernée et accompagnée de mesures proportionnées.
Une certification ISO suffit-elle pour la due diligence ?
Non. Elle constitue une preuve parmi d’autres. Il faut vérifier l’entité certifiée, le périmètre, la validité et l’adéquation au service, puis examiner les contrôles et risques qui ne sont pas couverts.
Le registre d’informations doit-il inclure tous les prestataires ICT ?
DORA prévoit la tenue et la mise à jour d’un registre des accords contractuels portant sur l’utilisation de services ICT, avec une distinction pour ceux qui soutiennent des fonctions critiques ou importantes. Les modèles et champs sont précisés par le règlement d’exécution 2024/2956.
Quand faut-il refaire la due diligence ?
Lors d’un changement matériel du service, du risque, de la chaîne de sous-traitance ou du prestataire, et selon la périodicité définie par la politique interne. Les alertes financières, juridiques, sanctions ou de contrôle doivent aussi déclencher une revue ciblée.