DORA et la gestion des prestataires : les achats dans le secteur financier

Depuis le 17 janvier 2025, le règlement européen DORA (Digital Operational Resilience Act) s’applique à toutes les entités du secteur financier, y compris les PME. Son objectif est clair : garantir la continuité des services financiers face aux incidents numériques et aux défaillances des prestataires TIC.

Pour les responsables achats, DORA n’est pas seulement une directive technique, c’est une nouvelle responsabilité stratégique. La performance et la sécurité des fournisseurs impactent directement la résilience opérationnelle de l’entreprise. Cela signifie que chaque choix de prestataire doit être réfléchi, documenté et contrôlé pour minimiser les risques liés aux interruptions de service ou aux incidents critiques.

Identifier et classer les prestataires critiques

La première étape pour assurer la conformité à DORA est d’identifier et classer les prestataires critiques. Il s’agit notamment de :

• Cloud, SaaS et hébergement : toute solution qui stocke ou traite des données sensibles ou critiques.

• Infogérance et services externalisés : systèmes supportant les opérations financières quotidiennes.

• Fournisseurs impactant directement la continuité : par exemple, logiciels métiers ou plateformes de paiement essentielles.

Cette classification permet de hiérarchiser les contrôles et d’allouer les ressources là où le risque est le plus élevé. Les prestataires critiques nécessitent une surveillance plus rigoureuse que les fournisseurs standards.

Évaluation continue des risques

La conformité DORA n’est pas ponctuelle, elle est continue. Le responsable achats doit collaborer étroitement avec la DSI et la direction pour mettre en place un processus d’évaluation des risques régulier.

Les outils clés incluent :

• Questionnaires de conformité pour évaluer la sécurité et la résilience des prestataires

• Audits réguliers pour vérifier les pratiques et les contrôles internes

• Revues contractuelles pour s’assurer que les engagements pris sont respectés et mis à jour

Ce suivi permanent permet de détecter les vulnérabilités avant qu’elles ne deviennent critiques et de démontrer la diligence de l’entreprise en cas de contrôle.

Obligations contractuelles

DORA impose des exigences précises à inclure dans chaque contrat avec les prestataires critiques. Ces obligations comprennent :

• Clauses de déclaration d’incidents : les prestataires doivent informer rapidement l’entreprise de tout incident pouvant affecter les services.

• Transparence et reporting : visibilité sur les pratiques de sécurité et les audits réalisés.

• Audits réguliers : droit de vérifier la conformité à tout moment.

• Plans de continuité et stratégies de sortie : s’assurer que la rupture de service ou la fin du contrat n’affecte pas les opérations.

Ces clauses garantissent que les prestataires participent activement à la résilience de l’entreprise et que leur rôle est parfaitement encadré.

Traçabilité et suivi

DORA exige également une documentation complète :

• Tenir un registre des prestataires critiques avec leurs niveaux de risque

• Suivre les audits et contrôles réalisés

• Disposer de preuves de conformité accessibles pour les autorités ou en interne

Cette traçabilité est essentielle pour démontrer que l’entreprise prend ses responsabilités au sérieux et respecte le règlement européen.

L’avis Pérenne’IT, expert cybersécurité 

Pour Pérenne’IT, les achats sont un levier stratégique pour garantir la conformité DORA. Une bonne gestion des prestataires réduit non seulement les risques opérationnels, mais assure la continuité des services financiers et protège la réputation de l’entreprise.

En intégrant la conformité DORA dans vos processus d’achat et de suivi des prestataires, vous transformez une obligation réglementaire en opportunité pour sécuriser vos opérations et créer de la valeur durable pour votre organisation.