RTS on ICT third-party service provider policy

Dans le cas d’entités financières faisant partie d’un groupe, il devrait incomber à l’entreprise mère chargée de fournir les états financiers consolidés ou sous-consolidés du groupe de veiller à ce que la politique soit appliquée de manière uniforme et cohérente au sein du groupe.

Dans le cadre de l’application de la politique, les prestataires de services TIC intragroupe, y compris ceux qui sont entièrement ou collectivement détenus par des entités financières relevant du même système de protection institutionnel, devraient être considérés comme des prestataires tiers de services TIC. Les risques posés par les prestataires de services TIC intragroupe peuvent certes être différents, mais les exigences qui leur sont applicables en vertu du règlement (UE) 2022/2554 sont les mêmes. De même, lorsqu’il existe une chaîne de prestataires tiers de services TIC, la politique devrait s’appliquer aux sous-traitants qui fournissent aux prestataires tiers de services TIC des services TIC soutenant des fonctions critiques ou importantes ou des parties importantes de celles-ci.

La responsabilité ultime, incombant à l’organe de direction, de la gestion du risque lié aux TIC d’une entité financière, constitue un principe fondamental qui s’applique aussi au recours à des prestataires tiers de services TIC. Cette responsabilité devrait se traduire plus avant par l’implication constante de l’organe de direction dans le contrôle et le suivi de la gestion du risque lié aux TIC, y compris dans l’adoption et le réexamen, au moins une fois par an, de la politique.

Afin de garantir un reporting approprié à l’organe de direction, la politique devrait préciser et énoncer clairement les responsabilités internes en matière d’approbation, de gestion, de contrôle et de documentation des accords contractuels sur l’utilisation de services TIC soutenant des fonctions critiques ou importantes qui sont fournis par des prestataires tiers de services TIC (ci-après les «accords contractuels»), y compris les services TIC fournis en vertu des accords contractuels visés à l’article 28, paragraphe 1, point a), du règlement (UE) 2022/2554.

Afin de tenir compte de tous les risques qui peuvent être liés à l’achat contractuel de services TIC à l’appui d’une fonction critique ou importante, la structure de la politique devrait suivre toutes les étapes de chaque phase importante du cycle de vie des accords contractuels conclus avec des prestataires tiers.

Afin d’atténuer les risques identifiés, la politique devrait préciser les modalités de planification des accords contractuels, notamment en ce qui concerne l’évaluation des risques, la diligence raisonnable et la procédure d’approbation de nouveaux accords contractuels ou de modifications importantes d’accords contractuels existants. Aux fins de la gestion des risques susceptibles de survenir avant la conclusion d’un accord contractuel avec un prestataire tiers de services TIC, la politique devrait prévoir un processus approprié et proportionné pour la sélection des prestataires tiers de services TIC potentiels et l’évaluation de leur adéquation, et imposer à l’entité financière de tenir compte d’une liste non exhaustive d’éléments que ces prestataires tiers devraient avoir mis en place. Cette liste devrait couvrir la réputation commerciale des prestataires tiers, leurs ressources financières, humaines et techniques, la sécurité des informations en leur sein, leur structure organisationnelle, y compris leur gestion des risques, et les contrôles internes qu’ils appliquent.

Afin de garantir une bonne gestion des risques dans le cadre de la fourniture par des prestataires tiers de services TIC soutenant des fonctions critiques ou importantes, la politique devrait contenir des informations sur la mise en œuvre, le suivi et la gestion des accords contractuels, y compris au niveau consolidé et sous-consolidé, s’il y a lieu. Cela inclut des exigences concernant les clauses contractuelles relatives aux obligations mutuelles de l’entité financière et du prestataire tiers de services TIC, lesquelles devraient être énoncées par écrit. Afin de garantir une surveillance efficace et de favoriser la résilience en cas de changements dans le modèle d’entreprise ou l’environnement des entreprises, la politique devrait garantir le droit des entités financières, ou de tiers désignés par elles, et des autorités compétentes de procéder à des inspections et d’accéder à des informations, et elle devrait également préciser les stratégies de sortie et les processus de résiliation des accords contractuels.

Dans la mesure où des données à caractère personnel sont traitées par des prestataires tiers de services TIC, la politique et les accords contractuels sont sans préjudice des obligations prévues par le règlement (UE) 2016/679 du Parlement européen et du Conseil(²) et devraient les compléter, par exemple par la mise en place d’un contrat écrit prévoyant les modalités de traitement des données à caractère personnel, l’obligation de garantir la sécurité de ce traitement et tous les autres éléments requis par ledit règlement.

Le comité mixte des autorités européennes de surveillance visé à l’article 54 du règlement (UE) n^o 1093/2010 du Parlement européen et du Conseil(³), à l’article 54 du règlement (UE) n^o 1094/2010 du Parlement européen et du Conseil(⁴) et à l’article 54 du règlement (UE) n^o 1095/2010 du Parlement européen et du Conseil(⁵) a procédé à des consultations publiques ouvertes sur le projet de normes techniques de réglementation sur lequel se fonde le présent règlement, analysé les coûts et avantages potentiels des normes proposées et sollicité l’avis du groupe des parties intéressées au secteur bancaire institué par l’article 37 du règlement (UE) n^o 1093/2010, du groupe des parties intéressées à l’assurance et la réassurance et du groupe des parties intéressées aux pensions professionnelles institués par l’article 37 du règlement (UE) n^o 1094/2010, ainsi que du groupe des parties intéressées au secteur financier institué par l’article 37 du règlement (UE) n^o 1095/2010,

Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil(⁶) et a rendu un avis le 24 janvier 2024,