2. La gestion des tiers avant DORA : un aperçu historique

Avant l’entrée en vigueur de DORA, la gestion des tiers était déjà un sujet de préoccupation majeur pour les régulateurs financiers à travers le monde. Voici un aperçu des principales initiatives réglementaires :

En Europe

• Autorités européennes de surveillance (ESA) : Les directives pré-DORA, telles que la directive sur les services de paiement (PSD2) et le règlement général sur la protection des données (RGPD), incluaient des exigences relatives à la gestion des risques liés aux tiers.
• Autorités nationales compétentes (NCA) :
  
  • France : Le CRBF 97-02 (règlement du Comité de la Réglementation Bancaire et Financière) encadrait déjà l’externalisation des services bancaires, en exigeant une gestion rigoureuse des risques liés aux tiers.
  • Allemagne (BaFin) : Les lignes directrices de la BaFin sur l’externalisation mettaient l’accent sur la supervision des prestataires critiques.
  • Royaume-Uni (FCA) : La FCA avait publié des directives détaillées sur la gestion des risques liés à l’externalisation.
  • Italie (Banca d’Italia) : Des exigences similaires étaient en place pour les institutions financières italiennes.
  • Espagne (Banco de España) : Les régulateurs espagnols avaient également publié des lignes directrices sur l’externalisation.
  • Pays-Bas (DNB) : La De Nederlandsche Bank (DNB) avait mis en place un cadre strict pour la gestion des tiers.
  • Belgique (NBB) : La Banque Nationale de Belgique (NBB) avait des exigences claires en matière d’externalisation.
  • Suède (Finansinspektionen) : Les régulateurs suédois avaient également publié des directives sur le sujet.
  • Autres pays de l’UE : Chacun des 27 États membres de l’UE avait ses propres lignes directrices ou réglementations en matière de gestion des tiers, souvent alignées sur les recommandations de l’EBA (European Banking Authority).
• EBA (European Banking Authority) : En 2019, l’EBA a publié des lignes directrices sur l’externalisation (EBA/GL/2019/02), qui ont servi de base commune pour les régulateurs nationaux. Ces lignes directrices insistaient sur la nécessité d’une due diligence, d’une surveillance continue et de plans de secours en cas de défaillance d’un prestataire.

Aux États-Unis

• Securities and Exchange Commission (SEC) : La SEC a renforcé ses exigences en matière de gestion des risques liés aux tiers, notamment dans le cadre des règles de cybersécurité pour les entités financières.
• Federal Reserve et OCC : Ces régulateurs ont publié des directives sur la gestion des risques liés à l’externalisation, en particulier pour les banques.

En Asie

• Monetary Authority of Singapore (MAS) : Le MAS a mis en place un cadre strict pour la gestion des risques liés aux tiers, incluant des exigences de due diligence et de surveillance continue.
• Hong Kong Monetary Authority (HKMA) : L’HKMA a publié des lignes directrices sur l’externalisation, exigeant que les institutions financières évaluent les risques liés aux prestataires.
• Autorités chinoises : La réglementation chinoise en matière de cybersécurité impose des obligations strictes aux prestataires de services, en particulier pour les données sensibles.

En Afrique

• Banque centrale d’Afrique du Sud (SARB) : La SARB a publié des directives sur la gestion des risques liés aux tiers, en particulier pour les services cloud.
• Autorités régionales : D’autres pays africains ont commencé à adopter des cadres réglementaires similaires, bien que moins formalisés que dans d’autres régions.