Surveillance directe des prestataires critiques (DORA)

Définition

La surveillance directe des prestataires critiques est le dispositif introduit par le règlement DORA permettant aux autorités européennes de surveillance de superviser directement certains fournisseurs de services TIC désignés comme critiques pour le secteur financier de l'Union européenne, en particulier les grands acteurs du cloud computing. Contrairement au régime habituel où la supervision passe par l'entité financière cliente, ce mécanisme permet un contrôle direct du prestataire lui-même, désigné comme critique selon des critères tenant à son importance systémique, au nombre d'entités financières qui en dépendent et à la difficulté de le substituer. Une autorité de surveillance principale, dite Lead Overseer, est désignée pour chaque prestataire critique et dispose de pouvoirs d'enquête, d'inspection et de recommandation, pouvant conduire à des mesures correctives obligatoires. Ce mécanisme répond à une limite structurelle des régulations financières antérieures, qui ne pouvaient agir que sur les entités régulées et non sur leurs fournisseurs technologiques, alors même que ces derniers concentrent une part croissante du risque opérationnel du secteur. Pour les entités financières, l'existence de cette surveillance directe ne les dispense pas de leurs propres obligations de diligence contractuelle envers leurs prestataires, qu'ils soient ou non désignés comme critiques au niveau européen.