Art. 5 Évaluation ex ante des risques | RTS on ICT third-party service provider policy | DORA

Article 5 sets out the pre-contractual obligations that must be embedded in a financial entity's policy before any contractual arrangement with an ICT third-party service provider is concluded.

It establishes two clear prerequisites: first, that business needs are defined upfront, and second, that a thorough risk assessment is carried out.

The risk assessment requirement is notably detailed, covering a broad range of risk categories that must be evaluated, from operational and legal risks through to data location risks and ICT concentration risks.

This article connects directly to Article 4, which governs the lifecycle of contractual arrangements, by anchoring the planning phase of that lifecycle in a structured, risk-informed approach.

Important points:

Define business needs and conduct a risk assessment before entering into any contractual arrangement with an ICT third-party service provider.
The risk assessment must be conducted at financial entity level and, where applicable, at consolidated and sub-consolidated level.
The risk assessment must cover a wide range of risk categories, including ICT concentration risks at entity level and risks linked to the location where data is processed and stored.

1. La politique exige que les besoins métiers de l’entité financière soient définis avant la conclusion de tout accord contractuel.
1. La politique exige qu’une évaluation des risques soit effectuée au niveau de l’entité financière et, s’il y a lieu, aux niveaux consolidé et sous-consolidé, avant la conclusion de tout accord contractuel.
2. L’évaluation des risques tient compte de toutes les exigences pertinentes énoncées dans le règlement (UE) 2022/2554 et dans la législation sectorielle de l’Union applicable. Elle tient compte, en particulier, des incidences que peut avoir sur l’entité financière la fourniture de services TIC soutenant des fonctions critiques ou importantes par des prestataires tiers de tels services, et de tous les risques liés à cette fourniture, qui incluent:
  1. les risques opérationnels;
  2. les risques juridiques;
  3. les risques liés aux TIC;
  4. les risques réputationnels;
  5. les risques liés à la protection de données confidentielles ou à caractère personnel;
  6. les risques liés à la disponibilité des données;
  7. les risques liés au lieu où les données sont traitées et stockées;
  8. les risques liés à la situation géographique du prestataire tiers de services TIC;
  9. les risques de concentration de TIC au niveau de l’entité.