ElegArtech
Plus
Échanger

← Gouvernance des SI

Des feuilles de registre translucides portant chacune quelques points épars ; empilées sous une lampe, leurs points se superposent en quelques taches denses et sombres.

Gouvernance des SI · Gouvernance & transformations · · 17 min

DORA : le superviseur voit la concentration avant le client

Le 18 novembre 2025, les autorités européennes de surveillance financière ont publié les noms de dix-neuf prestataires informatiques jugés critiques pour le secteur financier de l'Union. Aucune banque, aucun assureur n'aurait pu établir seul cette liste, alors que chacun tient un registre conforme de ses propres contrats. Le risque de concentration (la dépendance d'un grand nombre d'organisations envers un petit nombre de fournisseurs) n'existe qu'à l'échelle de l'agrégat. Ce que James C. Scott appelle la lisibilité explique pourquoi le superviseur le voit avant le client, et ce que cette vue laisse dans l'ombre.

Par Alexandre Berge · Régulation et droit · Cloud et infrastructures · Europe et international · Gouvernance · Chronique

Dix-neuf noms qu'aucun client ne pouvait écrire seul

Le 18 novembre 2025, l'Autorité bancaire européenne (EBA), l'Autorité européenne des assurances et des pensions professionnelles (EIOPA) et l'Autorité européenne des marchés financiers (ESMA), réunies sous le sigle AES (autorités européennes de surveillance), ont publié la liste des prestataires tiers critiques de services TIC (technologies de l'information et de la communication) désignés au titre de l'article 31 du règlement (UE) 2022/2554. Ce texte, dit DORA (Digital Operational Resilience Act, règlement sur la résilience opérationnelle numérique du secteur financier), s'applique depuis le 17 janvier 2025. La liste compte dix-neuf entités juridiques, dont Accenture plc, Amazon Web Services EMEA Sarl, Google Cloud EMEA Limited, Microsoft Ireland Operations Limited, Oracle Nederland B.V., SAP SE, Deutsche Telekom AG, Orange SA et Capgemini SE. Le procès-verbal du conseil des autorités de surveillance de l'EBA du 18 mars 2026 date les décisions de désignation du 14 novembre 2025. Il indique qu'un des prestataires désignés a formé un recours dans le délai ouvert, en soutenant que ses services ne relevaient pas des services TIC au sens du règlement.

Le communiqué commun des AES décrit une méthode en trois temps. Le premier est explicite : « First, the ESAs collected data from the Registers of Information maintained by financial entities, which detail their contractual arrangements for ICT services. » (Les AES ont d'abord collecté les données des registres d'informations tenus par les entités financières, qui détaillent leurs accords contractuels portant sur des services TIC.) Viennent ensuite une évaluation de criticité conduite avec les autorités nationales compétentes, puis une notification aux prestataires retenus, qui ont pu présenter une déclaration motivée. L'article 31 prévoit que la liste est mise à jour chaque année et que chaque prestataire désigné relève d'un superviseur principal (l'autorité européenne chef de file de sa surveillance), déterminé par la part d'actifs des entités financières clientes relevant de chacune des trois autorités. La liste publiée se limite aux noms. Elle n'indique ni le superviseur principal de chaque prestataire, ni les services en cause, ni les indicateurs de dépendance qui ont fondé la décision.

Le Royaume-Uni a suivi une trajectoire parallèle. Les Critical Third Parties (Designation) Regulations 2026 (SI 2026/777), prises par le Trésor britannique le 8 juillet 2026 et entrées en vigueur le 13 juillet, désignent quatre tiers critiques : Amazon Web Services EMEA SARL, Google Cloud EMEA Limited, Microsoft Ireland Operations Limited et Oracle Corporation UK Limited. La Banque d'Angleterre les supervise depuis cette date avec deux autres régulateurs, dont la Financial Conduct Authority (FCA, autorité de conduite des marchés). Trois des quatre entités britanniques sont les mêmes personnes morales que sur la liste européenne. Pour Oracle, les deux régimes visent deux entités juridiques distinctes. Dans le communiqué de la Banque d'Angleterre du 10 juillet 2026, le directeur général de la FCA, Nikhil Rathi, résume l'enjeu : « when the same providers serve thousands of firms, a single failure can reverberate across the financial system » (lorsque les mêmes prestataires servent des milliers d'entreprises, une seule défaillance peut se répercuter dans tout le système financier).

Chaque registre est conforme, aucun ne montre le système

L'article 28, paragraphe 3, de DORA impose à chaque entité financière de tenir et de mettre à jour, au niveau de l'entité et aux niveaux sous-consolidé et consolidé, « un registre d'informations en rapport avec tous les accords contractuels portant sur l'utilisation de services TIC fournis par des prestataires tiers de services TIC ». Le règlement d'exécution (UE) 2024/2956 du 29 novembre 2024 en fixe les modèles types. L'article 29 ajoute une évaluation préliminaire du risque de concentration, que son intitulé situe expressément au niveau de l'entité. Avant de confier une fonction critique ou importante, l'entité vérifie si le service est difficilement substituable ou si elle multiplie les contrats avec un même prestataire. Le test de concentration que le texte confie à l'entité porte sur ses propres contrats, jamais sur ceux de ses pairs.

Les critères de désignation sont définis sur une autre échelle. Le règlement délégué (UE) 2024/1502 du 22 février 2024 retient comme premier sous-critère, pour chaque catégorie d'entités financières, « la part que représentent les entités auxquelles ce même prestataire tiers fournit des services TIC qui soutiennent des fonctions critiques ou importantes ». Un client connaît sa propre contribution à ce ratio, jamais le dénominateur. Il sait qu'il dépend d'un fournisseur, il ignore combien d'autres en dépendent pour les mêmes fonctions, et si sa solution de repli repose sur les mêmes infrastructures que celles de ses pairs. Le règlement organise lui-même cette asymétrie : son article 31, paragraphe 10, prévoit que les autorités compétentes transmettent chaque année, sous forme agrégée, les informations reçues des entités au forum de supervision des AES, qui évalue sur cette base les relations de dépendance du secteur.

Les données publiques donnent la mesure de l'écart. Le rapport des AES publié le 27 septembre 2023, fondé sur une collecte de 2022 portant sur des données de fin 2021 et sur un échantillon d'environ 1 600 entités financières de 30 pays de l'Espace économique européen, a recensé environ 15 000 prestataires TIC directs, près de 20 000 en incluant les sous-traitants, dont près de 9 000 soutenaient des fonctions déclarées critiques ou importantes. Quelques prestataires servaient chacun entre 250 et 500 entités de l'échantillon. Selon le même rapport, environ la moitié des entités utilisatrices recouraient à un service critique non substituable, et environ les trois quarts lorsque l'analyse se limitait aux prestataires les plus fréquemment utilisés. Côté bancaire, la supervision de la Banque centrale européenne collecte chaque année depuis 2022 les registres d'externalisation des banques qu'elle supervise. Sa Supervision Newsletter du 21 février 2024 indique que « more than 30% of the total outsourcing budget of significant banks is concentrated on ten providers » (plus de 30 % du budget total d'externalisation des banques importantes est concentré sur dix prestataires), dont la plupart ont leur siège hors de l'Union, principalement aux États-Unis. Chaque banque connaissait sa part, seul le collecteur voyait la somme.

Le Conseil de stabilité financière (FSB) l'avait formulé dans sa boîte à outils du 4 décembre 2023 sur les risques liés aux tiers, qui confie à l'autorité financière l'appréciation du caractère systémique d'une dépendance et reconnaît que « Individual financial institutions may be unable to adequately manage these systemic risks using just the tools in Chapter 3 » (les établissements financiers pris individuellement peuvent être incapables de gérer correctement ces risques systémiques avec les seuls outils du chapitre 3, c'est-à-dire leurs propres outils de gestion).

La concentration devient visible quand l'autorité rend le marché lisible

Le mécanisme trouve son nom chez James C. Scott. Dans Seeing Like a State (1998), Scott décrit comment l'État moderne rend une société lisible : il impose des catégories standard, des unités de mesure et des identifiants qui permettent de compter et d'administrer à distance ce qui, localement, restait opaque. Appliquée au cas DORA, la lisibilité se décompose en trois opérations observables.

La première est la standardisation. Les registres suivent des modèles imposés, avec des identifiants de prestataires. Le rapport des AES de 2023 soulignait l'importance d'obtenir des entités des identifiants uniques, et précisait que ses propres totaux n'étaient que des estimations, faute de pouvoir rattacher sans hypothèses des noms de prestataires différents à une même entité ou à un même groupe. La deuxième est la centralisation. Les entités transmettent leurs registres aux autorités nationales, qui les remontent aux AES selon un calendrier annuel. Pour le cycle de désignation 2026, la collecte a commencé le 25 février 2026, avec une échéance au 31 mars et des registres corrigés attendus au 30 avril, selon le procès-verbal de l'EBA. La troisième est la simplification. Une relation contractuelle complexe devient une ligne, rattachée à un type de service et à un indicateur « fonction critique ou importante ».

Cette lisibilité a un coût de production. Lors de l'exercice à blanc de 2024 (une remise d'essai des registres, avant l'obligation réelle), les registres de près de 1 000 entités financières ont été soumis à 116 contrôles de qualité. Selon le communiqué des AES du 17 décembre 2024, 6,5 % seulement les ont tous passés, et la moitié des autres a échoué à moins de cinq contrôles. La vue d'ensemble qui a permis la désignation de novembre 2025 n'existait pas avant d'être fabriquée, contrat par contrat, par les entités elles-mêmes, qui en supportent la charge sans en recevoir le produit agrégé.

Un second appui théorique éclaire pourquoi cette fabrication revient au superviseur. Claudio Borio, dans un document de travail de la Banque des règlements internationaux publié le 2 février 2003, oppose l'approche microprudentielle (qui tient le système pour sain dès lors que chaque établissement l'est) à l'approche macroprudentielle (qui raisonne sur le système comme un tout et tient le risque pour en partie produit par le comportement collectif des établissements). DORA transpose cette bascule du risque financier au risque opérationnel. Le registre est un instrument microprudentiel. Sa compilation par les AES en fait un instrument macroprudentiel.

La lisibilité selon James C. Scott (1998)

Dans Seeing Like a State: How Certain Schemes to Improve the Human Condition Have Failed (Yale University Press, 1998), le politiste James C. Scott appelle lisibilité (legibility) l'effort par lequel un pouvoir central rend une réalité dispersée comptable et administrable : cadastre, patronymes fixes, mesures standard. Son exemple inaugural est la sylviculture scientifique allemande, qui réduit la forêt au volume de bois commercialisable. L'État prémoderne, montre-t-il, connaissait mal son territoire et sa population, faute d'en posséder une représentation standardisée. Scott ne condamne pas la lisibilité, condition de toute action à grande échelle. Il montre qu'elle simplifie, et que le savoir pratique local (ce qu'il nomme mètis) disparaît de la carte. Le concept sert ici à distinguer ce que l'agrégation rend visible de ce que la grille de saisie exclut par construction.

Ce que la grille ne lit pas : l'angle mort de la responsabilité individuelle

Le discours dominant, chez les régulateurs comme chez les accompagnateurs de la mise en conformité, insiste sur un point juste : la désignation d'un prestataire ne décharge pas ses clients. Le considérant 92 de DORA précise que le cadre de supervision ne remplace en rien l'obligation des entités de gérer elles-mêmes les risques liés à leurs prestataires. La Banque d'Angleterre écrit de même que son régime complète, sans les remplacer, les règles d'externalisation et de résilience opérationnelle des entreprises, qui restent responsables de leurs propres accords. Le principe est cohérent, son angle mort tient à la répartition de l'information. La responsabilité de gérer la concentration est assignée au niveau où la concentration est invisible, tandis que la vue qui la rend observable reste chez le superviseur et ne redescend que sous la forme d'une liste de noms.

Le cas montre trois limites de la grille. D'abord, elle enregistre ce que chaque entité déclare. Le rapport des AES de 2023 rappelait que le caractère critique ou important d'une fonction relève du jugement de l'entité, et constatait que « In some cases, however, the function supported by the ICT service deemed critical or important seems unlikely to in fact be so » (dans certains cas, la fonction soutenue par un service TIC déclaré critique ou important semble peu susceptible de l'être réellement). Ensuite, elle voit mal les chaînes de sous-traitance. Faute de données de qualité suffisante, la même analyse se limitait aux sous-traitants de premier rang, alors que le critère c) de l'article 31 vise précisément la dépendance indirecte par sous-traitance. Enfin, ses frontières sont contestées, comme l'atteste le recours d'un prestataire désigné sur la qualification même de ses services. Une carte lisible n'est pas une carte complète, et Scott rappelle que l'administration finit souvent par confondre les deux.

Un dernier fait mérite attention. Le même procès-verbal de l'EBA rapporte que le comité mixte des AES a décidé, au titre de la simplification, de cesser la rédaction de son rapport conjoint annuel d'automne sur les risques. Une présentation commune au comité économique et financier du Conseil, deux fois par an, prend le relais, d'autres supports restant à explorer. Justifié par l'économie de moyens, ce choix réduit cependant, au moins provisoirement, l'un des canaux par lesquels l'analyse transversale revenait vers le public, donc vers les entités qui alimentent les registres.

Le précédent des dérivés de gré à gré : déclarer pour que l'autorité voie

Le parallèle le plus proche est l'une des réponses à la crise de 2008. Avant celle-ci, chaque contrat dérivé de gré à gré (négocié bilatéralement, hors marché organisé) était connu de ses deux parties. Aucun acteur ne voyait l'ensemble des expositions croisées, et la concentration du risque de contrepartie sur quelques établissements ne s'est lue qu'après coup. Au sommet de Pittsburgh des 24 et 25 septembre 2009, les dirigeants du G20 ont posé que « OTC derivative contracts should be reported to trade repositories » (les contrats dérivés de gré à gré devraient être déclarés à des référentiels centraux).

La structure est celle de DORA : chaque partie déclare dans un format normalisé, un tiers agrège, l'autorité acquiert une vue que nul participant ne possède. Dans son rapport du 25 octobre 2010 sur la mise en œuvre de ces réformes, le FSB posait que les données des référentiels devaient être complètes, uniformes et fiables, et se prêter à une agrégation mondiale. C'est exactement la difficulté que révèlent les 6,5 % de registres sans erreur de l'exercice à blanc européen. La lisibilité a été conquise par la déclaration obligatoire, puis entretenue au prix d'un long travail de normalisation des données. L'essor de la surveillance macroprudentielle offrirait un autre précédent, moins ajusté au couple formé par la déclaration individuelle et la vue agrégée réservée à l'autorité.

Hors de la finance, l'écart se reproduit à trois conditions

Le mécanisme se reproduit hors du secteur financier dès que trois conditions sont réunies. La première est structurelle : de nombreuses organisations achètent les mêmes services à un petit nombre de fournisseurs, qu'il s'agisse d'hébergement, de logiciels métier ou d'infogérance. La deuxième est informationnelle : chaque acheteur documente ses contrats dans son propre périmètre, avec ses propres catégories, sans identifiants partagés. La troisième est institutionnelle : un seul acteur reçoit des déclarations standardisées de tous, qu'il s'agisse d'une autorité de régulation, d'une centrale d'achat, d'une tête de groupe, d'une fédération professionnelle ou d'un assureur du risque cyber.

Lorsque ces trois conditions coexistent, la dépendance systémique est découverte par l'agrégateur avant de l'être par les dépendants. Un établissement de santé connaît son éditeur de dossier patient, pas la part des établissements de sa région qui partagent cet éditeur et son hébergeur. Une filiale d'ETI connaît son contrat d'infogérance, tandis que seule la direction des systèmes d'information du groupe voit que toutes les filiales reposent sur le même centre de données.

Plusieurs signes rendent le mécanisme observable dans une organisation quelconque. Un tiers demande la liste de ses fournisseurs dans un format imposé, ce qui indique qu'une vue agrégée est en construction ailleurs. Un fournisseur est qualifié de critique par une source extérieure avant de l'être dans la cartographie interne des risques. Les clauses contractuelles d'un prestataire sont identiques d'un client à l'autre et non négociables, indice d'un rapport de force qu'aucun client ne mesure seul. Enfin, le plan de sortie suppose un fournisseur de substitution que les pairs supposent aussi, de sorte que la solution de repli de chacun est la même pour tous.

Grille de lecture

  1. Quel acteur extérieur (autorité, groupe, centrale d'achat, assureur) reçoit aujourd'hui la liste des fournisseurs de l'organisation dans un format standardisé, et qu'en restitue-t-il ?
  2. Le registre interne des fournisseurs utilise-t-il des identifiants uniques permettant de rapprocher un même prestataire sous ses différentes entités juridiques ?
  3. Pour les trois services les plus critiques, combien de pairs connus dépendent du même prestataire et du même sous-traitant d'infrastructure ?
  4. Le fournisseur de repli inscrit dans les plans de continuité figure-t-il déjà sur une liste publique de prestataires critiques ?

Une hypothèse vérifiable d'ici fin 2027

La tension posée au départ se resserre ainsi. La concentration est une propriété du système, non d'un contrat. Elle ne devient visible que par la lisibilité qu'une autorité impose aux registres. Le superviseur la voit donc avant le client, alors que la responsabilité de la gérer reste chez ce dernier.

L'hypothèse qui en découle est la suivante : tant que le produit agrégé de la lisibilité reste chez le superviseur, les entités financières découvriront leurs dépendances systémiques par les listes publiées plutôt que par leurs propres registres, et leurs informations publiques sur la concentration resteront décrites contrat par contrat. Plusieurs indicateurs permettent de la vérifier de l'extérieur avant le 31 décembre 2027. Le premier est la mise à jour annuelle de la liste prévue par l'article 31, paragraphe 9, établie à partir des registres collectés au printemps 2026 : comporte-t-elle, au-delà des noms, les services visés, le superviseur principal ou des indicateurs de dépendance ? Le deuxième est la publication éventuelle par les AES de statistiques agrégées tirées des registres de 2025 et 2026, comparables à celles du rapport de 2023. Le troisième est la mention, dans les documents d'enregistrement universels publiés au printemps 2027 par les banques et assureurs cotés, du statut de prestataire critique de leurs propres fournisseurs. Le quatrième est l'éventuelle extension par le Trésor britannique de sa liste au-delà des quatre fournisseurs de cloud. Si ces documents continuent de ne restituer que des noms, l'écart entre la carte du superviseur et celle du client aura cessé d'être transitoire pour devenir une propriété durable du dispositif.

Note méthodologique

L'analyse repose sur les textes de DORA et de ses actes d'application publiés sur EUR-Lex, sur la liste et le communiqué des AES du 18 novembre 2025, sur le procès-verbal de l'EBA du 18 mars 2026, sur le texte du SI 2026/777 publié sur legislation.gov.uk et sur le communiqué de la Banque d'Angleterre du 10 juillet 2026. Le rapport des AES de 2023 porte la date du 19 septembre 2023 et a été rendu public par communiqué le 27 septembre 2023, cette seconde date étant retenue comme date de publication. L'absence d'indication du superviseur principal par prestataire a été constatée sur la liste et le communiqué des AES à la date du 18 octobre 2026. Le choix de la lisibilité de James C. Scott comme cadre central, de préférence à une lecture par la gouvernance des communs ou par la dépendance aux ressources, relève de l'auteur. Recherche de sources, croisement des données et structuration du raisonnement s'appuient sur une assistance par intelligence artificielle. Le choix de l'angle et du cadre théorique, la vérification des sources, les arbitrages et l'établissement du texte final relèvent de l'auteur.

image générée par IA (ChatGPT Images 2.5)

Sources

Textes officiels et documents d'organisations

Décisions et publications d'autorités

Études et statistiques

Cadres théoriques

Parallèle historique

Derniers articles

Gouvernance des SI