Externaliser un service ne transfère jamais la responsabilité réglementaire. C'est le principe qui fonde toute la matière : l'établissement reste responsable devant son superviseur et ses clients de ce qu'il a confié à un tiers. Le Third-Party Risk Management est le dispositif qui rend cette responsabilité tenable.
Un programme TPRM se juge sur cinq étapes tenues bout à bout : qualifier la criticité avant de choisir, mener une due diligence proportionnée, verrouiller le contrat, surveiller en continu, et savoir sortir. La faiblesse la plus fréquente n'est ni la sélection ni le contrat — c'est la surveillance après signature, qui s'éteint six mois après la mise en service.
Le cadre applicable
Trois corpus se superposent pour un établissement financier français ou européen.
Les orientations de l'EBA sur l'externalisation posent le socle : gouvernance, registre des accords, distinction entre fonctions critiques ou importantes et le reste, droits d'audit et d'accès, stratégies de sortie.
DORA durcit et rend directement applicable la partie TIC de cet édifice : registre d'information transmis annuellement à l'autorité, clauses contractuelles obligatoires, stratégies de sortie documentées, et supervision européenne directe des prestataires tiers critiques.
Le cadre national de contrôle interne — pour les établissements français, l'arrêté relatif au contrôle interne des entreprises du secteur bancaire — impose enfin que le dispositif d'externalisation soit intégré au contrôle interne, avec une remontée à l'organe de surveillance.
Étape 1 — Qualifier avant de choisir
Tout commence par une question : la prestation envisagée soutient-elle une fonction critique ou importante ? Une fonction est critique ou importante lorsque son interruption serait de nature à compromettre gravement la continuité des services, la conformité aux obligations réglementaires, ou la solidité financière de l'établissement.
Cette qualification doit être faite avant le sourcing, par le métier et le risque conjointement, et non par les achats après négociation. Elle détermine tout le reste : profondeur de la due diligence, clauses exigées, fréquence de surveillance, obligation de plan de sortie.
| Critère de qualification | Question à trancher |
|---|---|
| Continuité | L'arrêt du service interrompt-il une prestation au client ? |
| Conformité | Le tiers exécute-t-il une obligation réglementaire à notre place ? |
| Données | Traite-t-il des données sensibles, personnelles ou couvertes par le secret ? |
| Substituabilité | Existe-t-il une alternative mobilisable dans un délai acceptable ? |
| Concentration | Ce tiers cumule-t-il déjà d'autres services critiques chez nous ? |
Étape 2 — La due diligence, proportionnée mais documentée
La due diligence porte sur la capacité du prestataire à délivrer durablement, pas seulement sur son prix. Les dimensions à couvrir :
- Solidité financière : comptes, dépendance à un client unique, structure capitalistique.
- Capacité opérationnelle : références, effectifs, plan de continuité, moyens de production.
- Sécurité : certifications, gestion des vulnérabilités, tests d'intrusion, gestion des accès.
- Conformité : sanctions, intégrité, LCB-FT, anticorruption, conflits d'intérêts.
- Localisation des données et sous-traitance : où, par qui, sous quelle juridiction, avec quelle chaîne de sous-traitants.
La sous-traitance en cascade est le point aveugle le plus coûteux. Un prestataire conforme peut confier l'essentiel de l'exécution à un quatrième niveau dont l'établissement ignore jusqu'au nom. Le contrat doit imposer l'autorisation préalable de toute sous-traitance portant sur une fonction critique, et l'information sur les changements.
Étape 3 — Le contrat : les clauses qui ne se négocient pas
Pour une fonction critique ou importante, un socle est attendu par le superviseur :
- description précise du service, niveaux de service quantifiés et pénalités associées ;
- lieux de traitement et de stockage des données, et conditions de modification ;
- obligations de sécurité et de confidentialité, gestion et notification des incidents ;
- droits d'accès, d'inspection et d'audit au bénéfice de l'établissement, de son commissaire aux comptes et de l'autorité de supervision ;
- coopération avec les autorités compétentes ;
- conditions de sous-traitance et information préalable ;
- clauses de résiliation et obligations de réversibilité : assistance, restitution des données dans un format exploitable, durée de la période de transition.
Un droit d'audit sans modalité d'exercice est un droit théorique. Précisez la fréquence, le préavis, l'étendue, la prise en charge des coûts et la possibilité de recourir à un tiers auditeur ou à des rapports mutualisés — sinon l'exercice se heurtera au refus poli du prestataire.
Étape 4 — La surveillance continue
C'est l'étape qui distingue un programme réel d'un classeur de contrats. Elle repose sur trois briques.
Un référent désigné par prestataire critique, côté métier, responsable du suivi et identifié comme tel dans le registre.
Un jeu d'indicateurs revu à fréquence fixe : respect des niveaux de service, incidents et leur traitement, évolutions de la sous-traitance, santé financière, résultats d'audit, alertes de réputation.
Une revue périodique formalisée, dont la fréquence dépend de la criticité, avec compte rendu et décisions tracées : maintien, plan de remédiation, ou activation de la sortie.
Étape 5 — Savoir sortir
La stratégie de sortie est exigée pour toute fonction critique ou importante. Elle doit répondre à trois questions concrètes : vers quoi bascule-t-on (réinternalisation, prestataire alternatif, solution dégradée), en combien de temps, et à quel coût. Un plan de sortie qui n'a jamais été chiffré ni testé, même partiellement, ne résiste pas à un contrôle.
Le risque de concentration
Dernier angle, souvent traité trop tard : la concentration. Elle se mesure à deux niveaux — l'accumulation de services critiques chez un même prestataire au sein de l'établissement, et la concentration sectorielle lorsque tout le marché dépend des mêmes acteurs. Le second niveau échappe à l'établissement pris isolément, mais il ne l'exonère pas : il doit être identifié, documenté et porté à la connaissance de l'organe de direction.
Feuille de route de mise en place
- Constituer le registre à partir des contrats réels et le rapprocher de la comptabilité fournisseurs — l'écart initial est toujours instructif.
- Qualifier chaque relation existante selon la grille de criticité, et faire valider la méthode.
- Prioriser les écarts contractuels sur les fonctions critiques et planifier les renégociations.
- Installer la surveillance : référents, indicateurs, calendrier de revue.
- Documenter les plans de sortie des dix relations les plus critiques, puis étendre.
- Rendre compte à l'organe de direction, au moins annuellement, avec une vue consolidée du risque tiers.
Ōri Advisory accompagne les établissements financiers sur la construction et la remise à niveau de leur dispositif TPRM, du registre à la renégociation contractuelle.