Impact du Digital Operational Resilience Act (DORA) sur les institutions financières

DORA, un texte technique… aux conséquences structurelles

Entré en vigueur en 2023, le Digital Operational Resilience Act (DORA) transforme en profondeur la manière dont les institutions financières européennes doivent appréhender leurs risques numériques. Il ne s’agit plus seulement de sécuriser un système d’information, mais de démontrer la capacité de l’organisation à résister, répondre et se remettre rapidement d’incidents informatiques ou cyber dans un environnement devenu entièrement digitalisé.

DORA harmonise les exigences européennes en matière de gestion des risques ICT, de résilience opérationnelle et de supervision des fournisseurs technologiques. Il impose des standards communs pour la gouvernance, les processus, les tests et la relation avec les prestataires. À partir de janvier 2025, les institutions ne devront plus seulement “être conformes sur le papier”, mais pouvoir démontrer concrètement que leur organisation, leurs processus et leurs partenariats soutiennent cette résilience.

Mais réduire DORA à un cadre purement technique serait une erreur de lecture. Ce règlement met en lumière une transformation bien plus profonde : la dépendance croissante du secteur financier à des écosystèmes de tiers, qui deviennent, de fait, une extension de l’infrastructure critique de chaque établissement.

DORA révèle une réalité structurelle : la finance est devenue un écosystème

En une décennie, les modèles opérationnels des institutions financières ont basculé d’une logique d’intégration vers une logique d’orchestration. Là où l’essentiel des capacités était internalisé, les services financiers reposent désormais sur une combinaison de composants externes : cloud providers, FinTech partenaires, fournisseurs de données, outsourcing opérationnel, solutions SaaS spécialisées.

Le résultat est une architecture de services plus agile, plus modulaire, mais aussi plus interdépendante. La continuité d’activité d’une institution dépend désormais autant de la robustesse de ses propres systèmes que de la solidité de son écosystème de tiers.

Un incident majeur chez un prestataire cloud, un fournisseur de données stratégique ou un opérateur d’outsourcing peut avoir un impact direct sur la capacité de l’établissement à rendre ses services.

Concrètement, la résilience opérationnelle repose aujourd’hui sur trois dimensions indissociables :

1. la robustesse des systèmes internes,
2. la sécurité des partenaires technologiques
3. et la continuité des prestataires critiques.

C’est cette interdépendance, souvent sous‑estimée ou mal gouvernée, que DORA vient formaliser et encadrer, en commençant par le prisme des prestataires ICT.

Les cinq piliers de DORA : une nouvelle grammaire de la résilience

Pour structurer cette nouvelle approche, DORA repose sur cinq axes majeurs qui forment une véritable “grammaire” de la résilience digitale.

1. Gestion et notification des incidents informatiques

Le premier pilier concerne la gestion et la notification des incidents ICT. Les institutions doivent être capables de détecter, classifier et déclarer rapidement les incidents majeurs. Cela implique de définir des seuils de gravité harmonisés, des processus d’escalade clairs et des modalités de reporting cohérentes vers les autorités nationales et européennes. En pratique, cela oblige aussi à clarifier le rôle des prestataires dans la remontée de ces incidents.

2. Tests de résilience opérationnelle numérique

Le deuxième pilier porte sur les tests de résilience opérationnelle. DORA exige la mise en place d’un programme structuré de tests, proportionné à la taille, au profil de risque et à la criticité des services. Cela inclut des tests de continuité d’activité, des simulations d’attaques cyber, des tests de pénétration avancés et, pour certains acteurs, des exercices de type “red teaming” guidés par les autorités. L’objectif n’est plus de supposer que les dispositifs fonctionnent, mais de le prouver.

3. Gestion des risques informatiques

Le troisième pilier impose un cadre de gestion des risques ICT complet. Ce cadre doit s’appuyer sur une gouvernance claire, une cartographie des actifs ICT, des procédures de contrôle et d’audit, ainsi que des responsabilités explicites au sein de l’organisation. La gestion des risques ICT ne peut plus être cantonnée à la DSI : elle devient un enjeu de gouvernance globale, impliquant les fonctions métiers, risques, conformité et direction générale.

4. Gestion des risques liés aux tiers

Le quatrième pilier, l’un des plus structurants, concerne la gestion des risques liés aux prestataires ICT. Les institutions doivent tenir un registre exhaustif de leurs fournisseurs, évaluer les risques avant contractualisation, intégrer des exigences spécifiques (sécurité, disponibilité, accès aux données, droits d’audit, exit strategies) dans les contrats, et surveiller en continu les prestataires critiques. La relation fournisseur passe ainsi d’un simple contrat de service à un objet de pilotage de risque.

5. Partage d'informations sur les cybermenaces

Enfin, le cinquième pilier vise le partage d’informations sur les cybermenaces. DORA encourage la création et la participation à des communautés de partage entre institutions financières, afin d’améliorer la capacité collective à détecter, comprendre et contrer les attaques. La résilience devient une affaire de coopération sectorielle, et non plus uniquement de performance individuelle.

De la gestion des fournisseurs ICT à la gestion globale des tiers

Si DORA se concentre sur les prestataires ICT, la question qui surgit très vite dans les établissements est la suivante : où s’arrête vraiment le périmètre des tiers à considérer pour la résilience ?

En pratique, les risques liés aux tiers débordent largement la sphère technologique.

Ils concernent les prestataires externalisés pour des fonctions opérationnelles, les partenaires commerciaux impliqués dans la distribution ou la fabrication de produits, les fournisseurs de données, les intermédiaires financiers, les partenaires technologiques au sens large, ainsi que leurs propres sous‑traitants.

Chacun de ces acteurs peut devenir un point de fragilité, qu’il s’agisse de continuité d’activité, de sécurité des données, de conformité réglementaire ou de réputation. Pourtant, dans la plupart des organisations, ces tiers sont “découpés” entre plusieurs fonctions :

• IT pour les fournisseurs technologiques,
• achats pour les contrats,
• conformité pour les aspects réglementaires,
• sécurité pour la posture cyber,
• gestion des risques pour la vision consolidée… lorsque celle‑ci existe.

Les données sont fragmentées, les approches hétérogènes, les responsabilités parfois floues. Cette dispersion rend très difficile l’obtention d’une vision globale et cohérente du risque tiers.

La logique portée par DORA invite à dépasser cette fragmentation. Si la résilience opérationnelle dépend de l’écosystème de tiers, alors la gestion de ces tiers ne peut plus être pensée en silos. Elle doit évoluer vers une gouvernance d’ensemble, capable de traiter les fournisseurs ICT comme une catégorie parmi d’autres au sein d’un dispositif plus large de gestion des tiers.

Vers une approche intégrée : le third‑party risk management (TPRM)

Face à cette complexité, de plus en plus d’institutions financières choisissent de structurer une approche intégrée : le Third‑Party Risk Management (TPRM). L’idée est de ne plus considérer chaque réglementation (DORA, NIS2, AML, ESG, réglementation supply chain…) comme un chantier isolé, mais de construire un socle commun de pilotage des tiers, sur lequel ces exigences viennent se raccorder.

Le TPRM vise à centraliser plusieurs dimensions clés :

• l’identification des tiers (qui sont‑ils, que font‑ils, de qui dépendent‑ils),
• l’évaluation des risques (ICT, opérationnels, réglementaires, ESG, réputationnels),
• la gestion contractuelle,
• le suivi continu (revues périodiques, incidents, indicateurs de performance)
• et les contrôles de conformité.

Il permet ainsi de passer d’une gestion fragmentée par typologie de fournisseurs à une gouvernance globale de l’écosystème de partenaires. Dans un modèle TPRM mature, chaque nouveau tiers est intégré dans un cycle de vie structuré : qualification, due diligence adaptée au risque, contractualisation, monitoring, re‑évaluation, et, le cas échéant, sortie.

La conformité à DORA et aux autres textes devient alors une conséquence naturelle de ce cycle de vie, plutôt qu’un exercice parallèle.

Comment Harmoney accompagne cette transformation

Chez Harmoney, nous avons conçu notre plateforme de conformité précisément pour répondre à ce changement de paradigme. L’objectif n’est pas seulement d’aider les institutions financières à cocher des cases réglementaires, mais de leur permettre de piloter l’ensemble du cycle de vie de leurs tiers dans une logique de TPRM.

La plateforme permet de centraliser les informations sur les tiers, de structurer les processus de due diligence et d’évaluation des risques, de suivre dans le temps les expositions réglementaires et opérationnelles, et de documenter les contrôles nécessaires à la conformité DORA et aux autres cadres. Elle facilite la collaboration entre IT, achats, conformité, sécurité, risques et métiers, en fournissant un référentiel et des workflows partagés.

En combinant la gestion de la conformité et la gestion des tiers au sein d’une même infrastructure, les institutions peuvent transformer une obligation réglementaire en levier de gouvernance. DORA devient alors l’occasion de mettre en place une architecture de pilotage des tiers plus robuste, plus lisible, et mieux alignée sur les enjeux de résilience opérationnelle.

DORA comme point de départ d’une gouvernance des tiers

Au final, DORA n’est pas uniquement une réglementation sur la cybersécurité ou sur les fournisseurs ICT. Il consacrer une idée clé : la résilience opérationnelle d’une institution financière dépend désormais de la manière dont elle gère et gouverne son écosystème de partenaires.

La question qui se pose aux organisations n’est donc plus seulement : “Comment gérer nos risques ICT ?”, mais : “Comment gouverner efficacement l’ensemble de nos tiers critiques, sur toute la durée de la relation, et à l’échelle de l’entreprise ?”. C’est précisément ce déplacement de la focale – du risque ICT au risque tiers d’entreprise – qui prépare le terrain pour les approches modernes de Third‑Party Risk Management, et qui fait de DORA un point de départ plutôt qu’une fin en soi.

Harmoney propose une plateforme digitale de pointe qui simplifie les processus complexes d’onboarding et de conformité, avec des fonctionnalités de contrôle automatisé. Vous souhaitez en savoir plus sur notre solution innovante ? Contactez-nous pour plus de détails ou restez informé via notre newsletter ⬇️.