Registre des prestataires tiers ICT : pourquoi une classification erronée vous est imputable

Parmi tous les livrables d'une mission DORA, le registre des prestataires tiers ICT est probablement celui qui vous expose le plus. Il ne s'agit pas d'un simple tableau Excel administratif : c'est la cartographie réglementaire de toute la dépendance technologique externe de l'établissement financier, et l'autorité de supervision l'examine ligne par ligne.

L'article 28 du règlement DORA impose à chaque entité financière de tenir un registre d'information recensant l'intégralité de ses accords contractuels portant sur l'usage de services ICT fournis par des tiers. Ce registre n'est pas figé : il doit être maintenu à jour, distinguer les contrats au niveau de l'entité, du groupe et du sous-groupe, et surtout identifier précisément quels services soutiennent une fonction critique ou importante.

C'est exactement sur cette qualification que tout se joue. Un prestataire qui héberge un service de paiement, un système de notation interne ou une plateforme de négociation n'a pas le même statut qu'un fournisseur de messagerie marketing. La frontière entre « fonction critique » et « fonction ordinaire » n'est pas toujours évidente, et c'est précisément le travail d'analyse pour lequel l'établissement vous a mandaté.

Dans la pratique, les défauts de registre que les superviseurs relèvent le plus fréquemment ne sont pas des oublis grossiers. Ce sont des erreurs d'appréciation subtiles, exactement le type de jugement que l'on attend d'un consultant expert.

1. La sous-traitance en cascade ignorée

Un établissement contractualise avec un éditeur SaaS de gestion de portefeuille. Cet éditeur héberge lui-même ses données chez un hyperscaler, qui sous-traite la maintenance à un tiers. DORA exige une visibilité sur cette chaîne lorsqu'elle soutient une fonction critique. Cartographier le seul fournisseur de premier rang et s'arrêter là constitue une faille de périmètre.

2. La sous-estimation d'un service cloud

Classer un service d'hébergement comme « support » alors qu'il conditionne la disponibilité d'une fonction de paiement revient à minorer une dépendance critique. En cas d'incident, l'établissement se retrouve sans plan de sortie ni stratégie de sortie documentée pour un prestataire qu'il pensait secondaire.

3. L'absence de clauses contractuelles requises

L'article 30 de DORA impose des clauses obligatoires (droit d'audit, niveaux de service, stratégies de sortie, localisation des données). Un registre qui recense un contrat sans signaler l'absence de ces clauses laisse l'établissement croire qu'il est conforme alors qu'il ne l'est pas.

Ce qui rend ces trois erreurs particulièrement insidieuses, c'est qu'aucune ne saute aux yeux à la lecture du livrable. Le registre paraît complet, bien structuré, professionnel. Le défaut ne se révèle que confronté à la réalité d'un incident ou au regard exigeant d'un superviseur. À ce moment-là, l'établissement ne s'interroge plus sur sa propre organisation : il se tourne vers celui qui a produit le document.

Beaucoup de consultants raisonnent ainsi : « la conformité est une obligation de l'établissement, pas la mienne ; c'est lui que l'autorité sanctionne, pas moi ». C'est vrai sur le plan réglementaire, et faux sur le plan de la responsabilité civile professionnelle.

Le mécanisme est en deux temps. D'abord, l'autorité de supervision (ACPR pour les banques et assurances, AMF pour certains acteurs de marché) constate une non-conformité du registre lors d'un contrôle et peut imposer une remédiation, voire une sanction pécuniaire à l'établissement. Ensuite, l'établissement qui subit ce préjudice se retourne contractuellement vers le prestataire à qui il avait précisément confié le cadrage de ce registre.

Le fait que vous fournissiez un conseil et non une garantie de résultat ne vous exonère pas : c'est la qualité de votre prestation qui est jugée, pas l'issue du contrôle.

Le préjudice est ici purement immatériel : il n'y a ni bien endommagé ni blessure, mais une perte financière (coût de la remédiation en urgence, sanction, désorganisation) directement reliée à une erreur de méthode ou d'analyse. C'est exactement le type de dommage qu'une assurance RC Pro de conseil en conformité financière est conçue pour couvrir, à condition que le contrat mentionne explicitement les missions de conformité réglementaire et les dommages immatériels non consécutifs.

Pour situer correctement votre exposition, il faut comprendre la nature exacte de votre engagement. Le consultant en conformité n'est en principe pas tenu à une obligation de résultat — vous ne garantissez pas que l'établissement passera tous ses contrôles sans encombre. Vous êtes tenu à une obligation de moyens : déployer les diligences, les compétences et la rigueur méthodologique qu'un professionnel avisé du même niveau aurait mobilisées.

Mais dans un domaine aussi technique et normé que DORA, cette obligation de moyens est appréciée avec exigence. Un juge ou un expert n'attendra pas de vous l'infaillibilité, mais il vérifiera que vous avez suivi une méthode reconnue, que vous avez posé les bonnes questions, que vous avez alerté sur les zones d'incertitude. L'écart entre « j'ai produit un registre » et « j'ai conduit une analyse de classification documentée et traçable » est précisément l'espace où se joue votre responsabilité.

Cela a une conséquence pratique directe : votre meilleure défense n'est pas la perfection du livrable, mais la démonstration de votre rigueur. Et cette démonstration repose entièrement sur ce que vous aurez tracé.

Dans un litige, la question n'est jamais « le registre était-il parfait » mais « le consultant a-t-il exercé son art avec la diligence attendue d'un professionnel de son niveau ». Voici les réflexes qui transforment cette question en réponse favorable.

• Formalisez le périmètre de mission. Indiquez noir sur blanc si vous cartographiez la sous-traitance en cascade ou seulement les fournisseurs de premier rang, et jusqu'à quel niveau.
• Conservez les informations transmises par le client. Si l'établissement vous a déclaré qu'un prestataire n'hébergeait aucune donnée critique et que c'était faux, cette déclaration écrite déplace une partie de la responsabilité.
• Datez vos recommandations. Une note signalant qu'un contrat ne contient pas les clauses de l'article 30 prouve que vous avez fait votre travail d'alerte, même si le client n'a pas agi.
• Versionnez le registre. Un registre est vivant ; pouvoir montrer l'état exact de votre livrable à la date de fin de mission évite qu'on vous impute des évolutions postérieures.

Cette discipline documentaire ne supprime pas le risque, mais elle transforme un dossier de mise en cause flou en une démonstration de diligence. C'est ce que votre assureur et son avocat utiliseront pour défendre votre dossier.

Le particularité du conseil DORA, c'est l'effet de levier : vous facturez une mission de quelques dizaines de milliers d'euros, mais l'erreur peut générer un préjudice sans commune mesure avec vos honoraires. Une remédiation en urgence sur le registre d'un grand établissement, doublée d'une sanction, se compte facilement en centaines de milliers d'euros, voire davantage.

C'est pourquoi les établissements financiers exigent presque systématiquement, dans leurs contrats de prestation, un plafond de garantie élevé — souvent de 2 à 5 millions d'euros. Une RC Pro standard de consultant, calibrée pour des missions de conseil généraliste, ne suffit pas : il faut une couverture explicitement étendue aux missions DORA et résilience ICT, à l'atteinte à la confidentialité des données sensibles que vous manipulez, et assortie d'une protection juridique solide.

Pensez également à votre propre exposition cyber : en tant que consultant manipulant des données ultra-sensibles d'établissements financiers, une compromission de votre poste de travail ou de vos sauvegardes peut elle-même déclencher un sinistre. Une assurance cyber dédiée vient compléter la RC Pro sur ce front. Vous pouvez retrouver l'ensemble des garanties adaptées à votre activité sur la page dédiée au consultant DORA.