Registre des tiers critiques

Définition

Le registre des tiers critiques est le document tenu par une organisation recensant l'ensemble des fournisseurs et prestataires dont la défaillance, la compromission ou l'indisponibilité aurait un impact significatif sur ses activités critiques ou sur la sécurité de ses données, ce recensement constituant un prérequis indispensable pour prioriser efficacement les ressources de gestion des risques liés aux tiers, plutôt que d'appliquer un même niveau d'attention à l'ensemble parfois très nombreux des fournisseurs d'une organisation. Ce registre précise généralement, pour chaque tiers identifié comme critique, la nature exacte du service fourni, les systèmes ou données concernés, le niveau de dépendance de l'organisation à ce prestataire, l'existence d'alternatives disponibles sur le marché en cas de rupture de la relation, ainsi que les certifications et garanties contractuelles obtenues. Cette exigence est désormais formalisée explicitement par le règlement DORA, qui impose aux entités financières la tenue d'un registre d'informations détaillé sur l'ensemble de leurs prestataires tiers de services TIC, avec une granularité renforcée pour ceux soutenant des fonctions critiques ou importantes, ce registre devant être tenu à jour et transmissible à l'autorité compétente sur demande. Pour les organisations non directement soumises à cette obligation réglementaire spécifique, la tenue d'un registre équivalent constitue néanmoins une bonne pratique de gouvernance des risques largement recommandée par les référentiels de gestion des risques liés aux tiers.