1. Introduction

Le secteur des services financiers a connu une transformation structurelle profonde au cours des deux dernières décennies. Les institutions qui développaient et maintenaient autrefois la plupart de leurs capacités opérationnelles en interne s'appuient désormais régulièrement sur des prestataires tiers pour le cloud computing, le traitement des paiements, la vérification know-your-customer (KYC), la cybersécurité, les systèmes bancaires centraux et une vaste gamme de services auxiliaires. La pandémie de COVID-19 a accéléré cette trajectoire, forçant une adoption rapide des canaux numériques et des infrastructures de travail à distance, souvent par l'intermédiaire de prestataires tiers [1].

 

Cette dépendance crée des avantages stratégiques : accès à une expertise spécialisée, évolutivité et efficacité des coûts. Pourtant, elle introduit également des strates de risques opérationnels, juridiques, réputationnels et systémiques au sujet desquels les régulateurs de toutes juridictions sont de plus en plus préoccupés. Des incidents très médiatisés — de la défaillance technologique de Knight Capital en 2012 à la brèche dans la chaîne d'approvisionnement MOVEit en 2023 affectant des dizaines d'institutions financières — ont souligné le potentiel de contagion des événements impliquant des tiers en perturbations systémiques [2].

 

Dans ce contexte, les achats dans le secteur bancaire et financier ont été repensés. La fonction d'achat traditionnelle — chargée d'obtenir des biens et services au coût le plus bas — est supplantée par un mandat plus large de gouvernance des fournisseurs qui englobe la conformité réglementaire, l'évaluation des risques, la supervision de la sécurité de l'information et la planification de la résilience opérationnelle. Cet article explore les dimensions clés de cette évolution, en examinant l'architecture réglementaire qui façonne la gouvernance des tiers et les cadres opérationnels que les institutions doivent déployer pour s'y conformer.

 

2. Le paysage réglementaire

2.1 Le règlement sur la résilience opérationnelle numérique (DORA)

Adopté par l'Union européenne en janvier 2023 et applicable à partir de janvier 2025, DORA (Règlement (UE) 2022/2554) représente l'intervention réglementaire la plus complète en matière de gestion des risques TIC dans les services financiers à ce jour. Son ambition est d'harmoniser les règles à travers les États membres de l'UE sur la façon dont les entités financières — y compris les banques, les assureurs, les sociétés d'investissement et les prestataires de services sur crypto-actifs — gèrent la résilience opérationnelle numérique de leurs systèmes TIC, avec un accent particulier sur le risque TIC lié aux tiers [3].

 

En vertu de DORA, les entités financières doivent tenir un registre de tous les prestataires de services TIC tiers et les classer par criticité. Les prestataires tiers critiques (CTPP) sont soumis à un nouveau cadre de surveillance administré par les autorités européennes de surveillance (AES), y compris l'Autorité bancaire européenne (EBA), qui peuvent mener des inspections et des audits directs de ces prestataires. Cela représente un changement fondamental : les régulateurs ne se contentent plus de tenir l'institution financière pour responsable ; ils exercent désormais des pouvoirs de surveillance directe sur les fournisseurs eux-mêmes [4].

 

Pour les fonctions achats, DORA impose des exigences contractuelles obligatoires. Les contrats écrits avec les prestataires TIC tiers doivent inclure des dispositions sur les niveaux de service, les droits d'audit, la localisation et la portabilité des données, les obligations de notification d'incident, les droits de résiliation et les stratégies de sortie. De manière critique, DORA exige que les entités financières s'assurent que les risques de concentration liés à leurs portefeuilles de prestataires TIC soient identifiés et gérés, et qu'elles testent leur capacité à sortir des accords critiques sans perturber leurs opérations [5].

2.2 Orientations de l'OCC sur les relations avec les tiers

Aux États-Unis, l'Office of the Comptroller of the Currency a établi depuis longtemps des attentes quant à la gestion des relations avec les tiers par les banques. Les orientations inter-agences de 2023 publiées conjointement par l'OCC, la Federal Reserve et la FDIC consolident les orientations antérieures en un cadre unifié applicable à toutes les relations avec les tiers, et pas seulement aux relations « critiques » [6]. Ces orientations identifient trois phases du cycle de vie de la relation — planification, suivi continu et résiliation — et précisent que les institutions doivent mener une diligence raisonnable fondée sur les risques, proportionnelle au niveau de risque posé par chaque relation.

 

Le cadre de l'OCC confère une responsabilité explicite aux conseils d'administration et à la direction générale. L'activité d'achat est élevée d'une fonction opérationnelle au rang de question de gouvernance : les conseils d'administration sont censés approuver les politiques de gestion des relations avec les tiers, examiner les rapports périodiques sur les accords importants et s'assurer que des ressources adéquates sont consacrées à la supervision. Ce cadre de gouvernance aligne les décisions d'achat sur l'appétence au risque et les objectifs stratégiques de l'institution, plutôt que de traiter la sélection des fournisseurs comme un exercice purement commercial [7].

2.3 FCA SYSC 8 et le régime britannique d'externalisation

Au Royaume-Uni, le manuel Senior Management Arrangements, Systems and Controls de la Financial Conduct Authority — spécifiquement le chapitre 8 (SYSC 8) — régit l'externalisation par les entreprises autorisées. Le SYSC 8 exige que les entreprises n'externalisent pas d'activités d'une manière qui compromette matériellement la qualité des contrôles internes ou la capacité de la FCA ou de la PRA à superviser l'entreprise. Les règles imposent des devoirs de maintien de la supervision des fonctions externalisées, de garantie que le prestataire respecte des normes équivalentes et de préservation de la continuité de service [8].

 

Suite à la publication des lignes directrices de l'EBA sur les accords d'externalisation (EBA/GL/2019/02), et à leur intégration dans la pratique réglementaire britannique après le Brexit, les institutions financières britanniques doivent désormais mener des évaluations approfondies préalables à l'externalisation, tenir un registre d'externalisation, inclure des dispositions contractuelles spécifiques et notifier les régulateurs des accords d'externalisation matériels. La déclaration de supervision SS2/21 de la Prudential Regulation Authority (PRA) sur l'externalisation et la gestion des risques liés aux tiers détaille davantage les attentes pour les entreprises réglementées par la PRA, y compris les exigences relatives aux contrôles de sous-externalisation et aux accords de continuité des activités [9].

 

3. Cadres de gestion des risques liés aux tiers

3.1 Le cycle de vie du risque fournisseur

Une TPRM efficace dans les services financiers est structurée autour d'un modèle de cycle de vie fournisseur comprenant cinq étapes : (i) identification et catégorisation des fournisseurs ; (ii) diligence raisonnable et évaluation pré-contractuelle ; (iii) négociation et exécution du contrat ; (iv) suivi continu et gestion de la performance ; et (v) fin de contrat et gestion de la sortie. Chaque étape comporte des expositions aux risques distinctes que les équipes achats doivent gérer en collaboration avec les services juridiques, de conformité, de sécurité de l'information et les secteurs d'activité [10].

 

À l'étape de l'identification et de la catégorisation, les institutions segmentent les fournisseurs en fonction du risque inhérent qu'ils présentent, généralement selon des dimensions incluant la sensibilité des données, la criticité pour les opérations, l'exposition réglementaire, la santé financière et le risque juridictionnel. Les modèles de risque à plusieurs niveaux — tels que ceux recommandés par le Shared Assessments Program ou le Financial Services Information Sharing and Analysis Center (FS-ISAC) — permettent d'allouer les ressources de diligence raisonnable de manière proportionnelle, une surveillance plus intensive étant appliquée aux prestataires de niveau 1, critiques pour la mission [11].

3.2 Diligence raisonnable et évaluation de la sécurité de l'information

La diligence raisonnable pré-contractuelle dans les services financiers va bien au-delà de l'analyse financière et de la vérification des références. Les évaluations de la sécurité de l'information sont devenues un composant central, motivées par la reconnaissance que les violations de données provenant de systèmes tiers représentent l'un des vecteurs de menace les plus importants auxquels l'industrie est confrontée. Les institutions exigent régulièrement que les fournisseurs remplissent des questionnaires standardisés — tels que ceux développés par l'initiative Standardised Information Gathering (SIG) — couvrant les contrôles dans des domaines incluant la gestion des accès, le chiffrement, la réponse aux incidents et la continuité des activités [12].

 

Les audits et certifications de tiers, y compris les rapports SOC 2 Type II, la certification ISO/IEC 27001 et les attestations spécifiques au cloud (telles que CSA STAR), fournissent une assurance structurée que les contrôles des fournisseurs répondent à des normes définies. Cependant, les régulateurs et les praticiens reconnaissent de plus en plus que les évaluations ponctuelles sont insuffisantes : les outils de surveillance continue — qui suivent la posture de sécurité, les événements d'actualité et la santé financière des fournisseurs en temps réel — deviennent une norme industrielle et sont soit mandatés, soit fortement encouragés dans le cadre de dispositifs comme DORA [13].

3.3 Protections contractuelles et SLA

Le contrat lui-même sert d'instrument principal de gouvernance des risques fournisseurs. Les contrats d'achat dans les services financiers ont considérablement évolué en réponse aux exigences réglementaires, intégrant des dispositions sur : le traitement et le sous-traitement des données (alignés avec le RGPD et les régimes équivalents) ; les droits d'audit et d'inspection ; les délais de notification d'incident (généralement 24-72 heures pour les incidents matériels) ; les normes de continuité des activités et de reprise après sinistre ; les droits de résiliation déclenchés par l'insolvabilité, le changement de contrôle ou l'objection réglementaire ; et les obligations de retour et de suppression des données à la fin du contrat [14].

 

Les accords de niveau de service (SLA) dans les secteurs réglementés doivent équilibrer la faisabilité commerciale avec la défendabilité réglementaire. Les régulateurs attendent des SLA qu'ils reflètent des seuils de performance réellement matériels — et non des objectifs ambitieux — et que les recours en cas de violation soient proportionnels à l'impact de la sous-performance sur l'institution et ses clients. La FCA britannique a explicitement critiqué la pratique consistant à intégrer des SLA si lâches qu'ils n'offrent aucune protection significative [15].

 

4. Risque de concentration des fournisseurs

L'un des risques les plus significatifs sur le plan structurel dans les achats des services financiers est la concentration des fournisseurs : le degré auquel les institutions — individuellement et collectivement — dépendent d'un petit nombre de prestataires pour des fonctions critiques. L'infrastructure cloud offre l'illustration la plus frappante. Une analyse de 2023 de la Bank of England a révélé que la majorité des institutions réglementées au Royaume-Uni s'appuyaient sur l'un des trois fournisseurs cloud hyperscale — Amazon Web Services, Microsoft Azure ou Google Cloud Platform — pour des éléments matériels de leurs opérations [16].

 

Cette concentration n'est pas seulement un problème d'entreprise individuelle ; c'est un problème systémique. Une panne ou un incident de sécurité affectant un prestataire dominant pourrait simultanément compromettre les opérations de multiples institutions d'importance systémique, déclenchant des effets de contagion à travers les systèmes de paiement, les marchés financiers et la collecte de dépôts. Les régulateurs ont répondu par une surveillance accrue : DORA exige explicitement des entités financières qu'elles cartographient et évaluent le risque de concentration TIC, tant au niveau de l'entité qu'au niveau sectoriel, par le biais de la coordination des AES. L'EBA a publié des rapports réguliers sur la concentration du cloud dans le secteur bancaire de l'UE, signalant ce risque comme une préoccupation prioritaire en matière de supervision [17].

 

Du point de vue de la stratégie d'achat, la gestion du risque de concentration nécessite des architectures multi-fournisseurs délibérées, des normes de portabilité et des exigences d'interopérabilité intégrées dès le départ dans les contrats. Les stratégies de sortie — y compris la capacité de migrer les charges de travail ou les données vers un prestataire alternatif dans un délai défini — doivent être testées, et non simplement documentées. Les équipes achats doivent travailler en étroite collaboration avec les fonctions technologiques et d'architecture d'entreprise pour s'assurer que les décisions commerciales ne créent pas par inadvertance une dépendance (lock-in) qui saperait la résilience opérationnelle [18].

 

5. Le rôle évolutif des achats

La convergence des exigences réglementaires, du risque cyber et des besoins en résilience opérationnelle refaçonne fondamentalement la fonction achats dans les services financiers. Le CPO et son équipe ne peuvent plus agir en tant qu'intermédiaires transactionnels axés principalement sur les économies de coûts et la conformité contractuelle. Ils doivent plutôt agir en tant qu'orchestrateurs conscients des risques, capables de coordonner les parties prenantes juridiques, de conformité, technologiques et commerciales pour fournir des relations avec les fournisseurs qui soient commercialement saines, opérationnellement résilientes et démontrablement conformes aux attentes réglementaires [19].

 

Cela nécessite un investissement dans des capacités relativement nouvelles pour les achats : plateformes technologiques de TPRM (telles que Coupa, Ariba intégré avec des modules de risque, ou des outils spécialisés comme ProcessUnity et OneTrust), notation des risques basée sur les données et personnel d'achat possédant des connaissances suffisantes en sécurité de l'information et en cadres réglementaires pour mener des discussions significatives avec les fournisseurs. Le Chartered Institute of Procurement and Supply (CIPS) a reconnu ce changement, développant des orientations sur le risque de la chaîne d'approvisionnement dans les services financiers qui intègrent à la fois des dimensions commerciales et réglementaires [20].

 

Les structures de gouvernance doivent également s'adapter. De nombreuses institutions ont établi des comités dédiés aux risques liés aux tiers ou ont intégré la TPRM dans leurs cadres de gestion des risques d'entreprise selon le modèle des Trois Lignes de Défense — avec les achats occupant la première ligne, la conformité et la gestion des risques la deuxième, et l'audit interne la troisième. Le reporting régulier aux conseils d'administration et aux comités de risques seniors sur le profil de risque des tiers de l'institution — incluant la concentration, la performance et les risques émergents au sein de l'écosystème des fournisseurs — est de plus en plus considéré comme une attente de gouvernance de base par les régulateurs [21].

 

6. Conclusion

Les achats dans le secteur bancaire et financier sont entrés dans une nouvelle ère, définie non pas par la seule recherche d'économies de coûts, mais par l'impératif de gérer le risque lié aux tiers au sein d'un paysage réglementaire dense et en évolution. DORA, les orientations inter-agences de l'OCC, le SYSC 8 de la FCA et les cadres équivalents dans d'autres juridictions ont collectivement élevé la gouvernance des tiers d'une préoccupation de back-office à une responsabilité au niveau du conseil d'administration.

 

Les défis sont substantiels. Les institutions financières doivent simultanément gérer la performance commerciale de centaines ou de milliers de relations avec des fournisseurs, maintenir à jour les évaluations des risques dans un environnement de menaces en évolution rapide, intégrer des exigences réglementaires complexes dans les contrats et les processus de diligence raisonnable, et traiter les vulnérabilités structurelles telles que le risque de concentration des fournisseurs. Aucun de ces objectifs ne peut être atteint par des équipes achats travaillant isolément.

 

Ce qui est requis est un modèle de gouvernance intégrée des tiers — dans lequel les fonctions d'achat, de risque, de conformité, juridique et technologique opèrent comme une unité cohérente, soutenue par une technologie appropriée et des structures de supervision. Les institutions qui investissent dans ce modèle seront mieux positionnées non seulement pour satisfaire aux attentes réglementaires, mais pour réaliser le potentiel stratégique de leurs relations avec les fournisseurs, faisant de la gouvernance des tiers une source de résilience compétitive plutôt qu'un simple fardeau de conformité.