[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:fr:dora-diligence-raisonnable-rts-2024-1773-les-six-questions-les-cinq-sources-d-assurance-les-huit-conditions-pour-votre-certificat-et-les-cinq-rapports":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"fr","dora-diligence-raisonnable-rts-2024-1773-les-six-questions-les-cinq-sources-d-assurance-les-huit-conditions-pour-votre-certificat-et-les-cinq-rapports","La politique DORA de votre banque envers ses prestataires, RTS 2024\u002F1773 : les six questions de la diligence raisonnable, les cinq sources d'assurance, les huit conditions pour accepter votre certificat ISO 27001 à la place d'un audit, et les cinq rapports que vous devrez","Chaque entité financière de l'Union a une politique écrite sur ses contrats de services TIC soutenant des fonctions critiques ou importantes, et le règlement délégué (UE) 2024\u002F1773 dit ce que cette politique doit contenir, en vigueur depuis le 15 juillet 2024. Lu du côté du prestataire : les six choses que le client évalue à votre sujet avant de signer (article 6), les cinq sources d'assurance qu'il peut utiliser et les huit conditions auxquelles il peut se fier à vos certifications ou rapports d'audit plutôt que de vous auditer lui-même (article 8), les indicateurs clés, les pénalités et les cinq types de rapport que le contrat exigera (article 9), et le plan de sortie qu'il doit tester (article 10). Avec ce qu'un certificat ISO 27001 répond, et ce qu'il ne répond pas.","2026-09-12","\nLe questionnaire qu'une banque envoie à ses éditeurs de logiciels n'est pas une invention de la banque. Depuis le 15 juillet 2024, chaque entité financière relevant du règlement (UE) 2022\u002F2554, DORA, doit tenir une politique écrite sur ses contrats de services TIC soutenant des fonctions critiques ou importantes, et le règlement délégué (UE) 2024\u002F1773 de la Commission du 13 mars 2024, publié le 25 juin 2024, précise le contenu détaillé de cette politique en onze articles. L'article 28, paragraphe 2, de DORA exige la politique ; le règlement délégué dit ce que la politique doit faire demander, vérifier, contractualiser et surveiller à la banque. Lu du côté du prestataire, c'est le plan de chaque questionnaire de diligence raisonnable, de chaque clause d'audit et de chaque demande de rapport trimestriel que vous recevrez d'un client financier. Cet article le lit au Journal officiel sur CELLAR le 12 septembre 2026. Ce n'est pas un avis juridique.\n\n## Les six choses que le client évalue avant de signer, article 6, paragraphe 1\n\nL'article 6, paragraphe 1, exige que la politique définisse un processus proportionné de sélection et d'évaluation des prestataires potentiels, et impose une évaluation, avant la conclusion du contrat, de la question de savoir si le prestataire : a) a la réputation commerciale, les capacités suffisantes, l'expertise et les ressources financières, humaines et techniques adéquates, les normes de sécurité de l'information, une structure organisationnelle appropriée, une gestion des risques et des contrôles internes et, le cas échéant, les agréments ou enregistrements requis pour fournir le service de manière fiable et professionnelle ; b) est capable de suivre les évolutions technologiques pertinentes, d'identifier les meilleures pratiques de sécurité des TIC et de les mettre en œuvre lorsque c'est approprié ; c) recourt ou entend recourir à des sous-traitants pour le service ou des parties significatives de celui-ci ; d) est situé, ou traite ou stocke les données, dans un pays tiers et, dans ce cas, si cela affecte le risque opérationnel ou de réputation ou le risque d'être touché par des mesures restrictives, embargos et sanctions compris ; e) consent à des accords contractuels qui rendent effectivement possibles des audits chez le prestataire, y compris sur place, par le client, des tiers désignés et les autorités compétentes ; f) agit de manière éthique et socialement responsable, respecte les droits de l'homme et les droits de l'enfant, y compris l'interdiction du travail des enfants, respecte les principes applicables de protection de l'environnement et garantit des conditions de travail appropriées.\n\nLe point a) est la question pour laquelle votre certificat ISO 27001 est habituellement produit ; le point c) est là où le règlement délégué sur la sous-traitance prend le relais ; le point d) est la raison pour laquelle le registre d'informations demande les pays de stockage et de traitement ; le point e) est la clause d'audit, et un prestataire qui refuse les audits sur place échoue à l'évaluation avant même que le contrat existe. Le point f) est celui que la plupart des questionnaires portent désormais et qui surprend la plupart des prestataires : une réponse de type code de conduite fournisseur, tirée de ce paragraphe. L'article 6, paragraphe 2, ajoute que la politique précise le niveau d'assurance dont le client a besoin sur l'efficacité de votre cadre de gestion des risques et exige que la diligence raisonnable évalue l'existence de vos mesures d'atténuation des risques et de continuité des activités et la façon dont leur fonctionnement est assuré. L'article 5 exige, côté client, une évaluation ex ante des risques opérationnels, juridiques, TIC, de réputation, de protection des données, de disponibilité des données, de localisation des données, de localisation du prestataire et de concentration, et l'article 7 demande au client d'identifier et de gérer les conflits d'intérêts, tarification intragroupe comprise.\n\n## Les cinq sources d'assurance, article 6, paragraphes 3 et 4\n\nL'article 6, paragraphe 3, exige que la politique indique lesquels des éléments suivants sont utilisés pour le niveau d'assurance requis sur la performance du prestataire : a) des audits ou évaluations indépendantes réalisés par le client ou pour son compte ; b) des rapports d'audit indépendants établis à la demande du prestataire ; c) des rapports d'audit établis par la fonction d'audit interne du prestataire ; d) des certifications appropriées par des tiers ; e) d'autres informations pertinentes dont dispose le client ou fournies par le prestataire. L'article 6, paragraphe 4, exige un niveau d'assurance approprié compte tenu de ces éléments et, lorsque c'est approprié, de plusieurs d'entre eux. La tâche d'un prestataire est de rendre b), c) et d) disponibles avant que le client n'ait à se rabattre sur a) : le certificat, le dernier rapport d'audit de surveillance, le programme d'audit interne et ses rapports.\n\n## Les huit conditions pour se fier à votre certificat ou à votre rapport d'audit, article 8\n\nL'article 8, paragraphe 1, exige que le contrat soit écrit et comprenne tous les éléments de l'article 30, paragraphes 2 et 3, de DORA, les clauses que la [liste des clauses](\u002Fdora\u002Fcontract-clauses) énumère. L'article 8, paragraphe 2, exige que le contrat comprenne le droit du client d'accéder aux informations, de procéder à des inspections et audits et d'effectuer des tests sur les TIC, en utilisant : a) son propre audit interne ou un tiers désigné ; b) lorsque c'est approprié, des audits groupés et des tests TIC groupés, tests de pénétration fondés sur la menace compris, organisés conjointement avec d'autres clients du même prestataire ; c) lorsque c'est approprié, des certifications par des tiers ; d) lorsque c'est approprié, des rapports d'audit internes ou de tiers mis à disposition par le prestataire.\n\nPuis l'article 8, paragraphe 3, le paragraphe qui décide jusqu'où un certificat ISO 27001 vous porte. Le client ne peut pas, dans la durée, se fier uniquement à des certifications ou des rapports d'audit, et la politique ne peut permettre leur utilisation que lorsque le client : a) est satisfait de votre plan d'audit pour le contrat concerné ; b) s'assure que le périmètre de la certification ou du rapport couvre les systèmes et les contrôles clés qu'il a identifiés et garantit le respect des exigences réglementaires pertinentes ; c) évalue en profondeur le contenu de manière continue et vérifie que le rapport ou la certification n'est pas obsolète ; d) s'assure que les systèmes et contrôles clés sont couverts dans les versions futures ; e) est satisfait de l'aptitude de l'organisme certificateur ou d'audit ; f) est satisfait que la certification est délivrée, et l'audit réalisé, selon des normes professionnelles pertinentes largement reconnues et comprend un test de l'efficacité opérationnelle des contrôles clés en place ; g) a le droit contractuel de demander, à une fréquence raisonnable, des modifications du périmètre de la certification ou du rapport à d'autres systèmes et contrôles pertinents ; h) a le droit contractuel de réaliser des audits individuels et groupés à sa discrétion et d'exercer ces droits à la fréquence convenue. L'article 8, paragraphe 4, ajoute que les modifications importantes du contrat sont formalisées dans un document daté et signé par toutes les parties, et que la politique précise le processus de renouvellement.\n\nLu en prestataire, b) signifie que la déclaration de périmètre du certificat doit nommer le produit et les systèmes qui le font tourner, pas le siège ; c) et d) signifient que le certificat ne vaut que ce que vaut le dernier audit de surveillance et le prochain ; e) signifie un organisme de certification accrédité, et les [registres d'accréditation](\u002Farticles\u002Fhow-to-check-an-iso-9001-certificate-is-real-what-a-certificate-must-show-three-checks-that-take-ten-minutes-and-the-27-accreditation-registers) qu'un client vérifiera sont les mêmes pour ISO 27001 que pour ISO 9001 ; f) signifie un audit qui a testé si les mesures fonctionnent, ce qu'un audit de certification fait et qu'une auto-évaluation ne fait pas ; et g) et h) signifient que le certificat ne remplace jamais la clause d'audit, il en réduit seulement la fréquence d'usage.\n\n## Les indicateurs clés et les cinq rapports, article 9\n\nL'article 9, paragraphe 1, exige que le contrat précise les mesures et indicateurs clés pour surveiller en continu la performance du prestataire, y compris des mesures de surveillance du respect des exigences de confidentialité, de disponibilité, d'intégrité et d'authenticité des données et des politiques pertinentes du client, ainsi que les mesures qui s'appliquent lorsque les niveaux de service ne sont pas atteints, pénalités contractuelles comprises lorsque c'est approprié. L'article 9, paragraphe 2, exige que la politique garantisse en particulier a) que le prestataire fournit au client des rapports appropriés sur ses activités et services, y compris des rapports périodiques, des rapports d'incident, des rapports de fourniture de service, des rapports sur la sécurité des TIC et des rapports sur les mesures de continuité des activités et leurs tests ; b) que la performance est évaluée avec des indicateurs clés de performance, des indicateurs clés de contrôle, des audits, des auto-certifications et des examens indépendants ; c) que le client reçoit d'autres informations pertinentes ; d) que le client est informé, lorsque c'est approprié, des incidents liés aux TIC et des incidents opérationnels ou de sécurité liés au paiement ; e) qu'un examen indépendant et des audits vérifiant le respect des exigences légales et réglementaires et des politiques sont réalisés. L'article 9, paragraphe 3, rend l'évaluation documentée et la réinjecte dans l'évaluation des risques du client, et l'article 9, paragraphe 4, exige des mesures contre les manquements, avec un délai défini et un suivi de leur mise en œuvre.\n\nLes cinq rapports du point a) sont le coût opérationnel d'un client financier, et un prestataire doté d'un système de management en produit quatre comme sous-produit : le rapport périodique à partir de l'enregistrement de disponibilité et de surveillance, le rapport d'incident à partir du processus d'incident, le rapport de sécurité des TIC à partir de l'audit interne et de la revue de direction, et le rapport de continuité à partir du plan et de ses résultats de test. Le rapport de fourniture de service est celui que définissent les niveaux de service du contrat.\n\n## Le plan de sortie, article 10\n\nL'article 10 exige que la politique contienne un plan de sortie documenté pour chaque contrat, périodiquement revu et testé, tenant compte des interruptions de service imprévues et persistantes, d'une fourniture de service inappropriée ou défaillante, et de la résiliation inattendue du contrat ; le plan doit être réaliste, faisable, fondé sur des scénarios plausibles et des hypothèses raisonnables, et avoir un calendrier de mise en œuvre compatible avec les conditions de sortie et de résiliation du contrat. L'article 30, paragraphe 3, point f), de DORA met la période de transition et votre obligation de continuer à fournir le service pendant celle-ci dans le contrat ; l'article 10 est la raison pour laquelle le client vous demandera de la répéter.\n\n## Ce qu'un certificat ISO 27001 répond, et ce qu'il ne répond pas\n\nLe règlement délégué ne nomme aucune norme. Ce qui suit est la lecture de StandardOS de l'endroit où un système de management ISO\u002FIEC 27001:2022 répond aux questions, sans présomption de conformité. L'article 6, paragraphe 1, point a), c'est tout le système : le certificat, la déclaration d'applicabilité (clause 6.1.3), le programme d'audit interne (clause 9.2) et la revue de direction (clause 9.3). L'article 6, paragraphe 1, point b), ce sont les mesures de veille sur les menaces et de gestion des changements (A.5.7, A.8.32). L'article 6, paragraphe 1, point c), c'est le registre des fournisseurs (A.5.19 à A.5.21). L'article 6, paragraphe 2, c'est le plan de continuité et ses tests (A.5.29, A.5.30). L'article 6, paragraphe 3, points b) à d), ce sont le certificat lui-même, les rapports d'audit de surveillance et les rapports d'audit interne. L'article 8, paragraphe 3, point f), est satisfait par un audit de certification, qui teste l'efficacité opérationnelle, et non par un questionnaire d'auto-évaluation. L'article 9, paragraphe 2, point a), c'est l'enregistrement de surveillance (A.8.16), le processus d'incident (A.5.24 à A.5.27) et les tests de continuité. Ce que le certificat ne répond pas : l'article 6, paragraphe 1, point d), qui est un fait sur vos lieux ; l'article 6, paragraphe 1, point e), et l'article 8, paragraphe 3, points g) et h), qui sont des termes contractuels que vous devez accorder ; l'article 6, paragraphe 1, point f), qu'aucune norme de sécurité de l'information ne couvre ; et l'article 8, paragraphe 3, point b), qui dépend de la question de savoir si le périmètre de votre certificat nomme les systèmes sur lesquels le client s'appuie.\n\n## Que faire avant que le questionnaire n'arrive\n\nRédigez le périmètre du certificat de façon qu'il nomme le produit et ses systèmes. Gardez le dernier rapport d'audit de surveillance et le programme d'audit interne prêts à être partagés sous accord de confidentialité, car l'article 6, paragraphe 3, points b) et c), est l'assurance la moins coûteuse pour les deux parties. Décidez de la fréquence d'audit et des conditions d'audit groupé que vous pouvez accorder au titre de l'article 8, paragraphe 3, point h), et tarifez les audits sur place dans le contrat. Définissez une fois les cinq rapports de l'article 9, paragraphe 2, point a), avec leur cadence, et produisez-les à partir du système plutôt qu'à la main. Rédigez la réponse de type code de conduite fournisseur à l'article 6, paragraphe 1, point f). Et mettez les lieux, les sous-traitants et les délais de préavis dans la [fiche de données du registre](\u002Fdora\u002Fregister-of-information), parce que la même politique, à l'article 4, point e), fait tenir au client le registre où vous figurez. Le [hub DORA](\u002Fdora) tient les dates du règlement et de cet acte.\n",1789383969942]