DORA – changement de sous-traitant informatique, évaluation des risques & objection | Word/PDF/Excel

Votre fournisseur cloud ou partenaire d’exploitation vous informe qu’un sous-traitant informatique important va être remplacé. Votre entreprise financière doit-elle accepter ce changement ? Lorsque le service informatique soutient une fonction critique ou importante, ou une partie substantielle d’une telle fonction, DORA et la norme européenne spécifique relative aux sous-traitants peuvent exiger une évaluation des risques documentée, une notification contractuelle et une décision prise en temps utile. Ce pack spécialisé vous aide à gérer une notification de changement spécifique – et non pas seulement à établir une politique informatique générale.

Cadre réglementaire applicable : DORA, règlement (UE) 2022/2554, s’applique depuis le 17 janvier 2025. Le règlement délégué (UE) 2025/532 complémentaire est applicable depuis le 22 juillet 2025 et traite de l’évaluation des risques et des conditions relatives à la sous-traitance des services informatiques qui soutiennent des fonctions critiques ou importantes. L’article 5 régit les changements substantiels ; l’article 6 régit certaines conditions relatives au droit contractuel de résiliation.

Contenu : 5 modèles de travail suédois, un guide d’utilisation suédois et un guide d’utilisation anglais séparé, tous deux disponibles en format Word (DOCX) et en PDF A4 consultable et imprimable, ainsi qu’un registre Excel comprenant neuf onglets et 730 formules administratives. Au total, 7 DOCX + 7 PDF + 1 XLSX = 15 fichiers dans un fichier ZIP. Prix unique : 79 SEK ; aucune livraison physique, aucun macro et aucune intégration automatisée avec les fournisseurs.

Quand s’agit-il du bon modèle DORA ?

Les utilisateurs types sont la fonction des risques informatiques, la conformité, le service juridique, le responsable des achats et des fournisseurs, le responsable de la sécurité des informations et le responsable opérationnel des fonctions critiques ou importantes d’une entreprise financière. Exemple de situation : une entreprise fournissant un service financier critique reçoit une notification écrite indiquant que l’exploitation, l’infrastructure, une fonction de sécurité ou le stockage des données est transféré à un autre sous-traitant, éventuellement dans un nouveau pays ou plus loin dans la chaîne d’approvisionnement.

Champ d’application : Tous les achats informatiques ou changements de fournisseur habituels ne constituent pas un changement substantiel au sens de l’article 5. Vérifiez d’abord si l’entité est soumise à DORA et si la chaîne de sous-traitance concrète soutient une fonction critique ou importante, ou une partie substantielle de celle-ci. Les mêmes exigences légales ne doivent pas être appliquées aux entreprises situées en dehors du champ d’application concerné.

Les 15 fichiers clients

Excel – neuf onglets pour le processus contractuel et d’évaluation des risques

Le classeur comprend les onglets Lisez-moi, Aperçu, Changements, Contrats, Risques, Réponses, Décisions, Sortie et Sources. Chaque changement effectif se voit attribuer un identifiant de dossier. L’onglet Aperçu comptabilise les notifications, les dossiers d’évaluation des risques incomplets, les contrats à examiner, les demandes sans réponse, les objections sans communication effective et les dossiers de sortie. Il contient 730 formules et a réussi 23 tests sur 23 scénarios, y compris les risques dépassant la tolérance, la sous-traitance non autorisée par le contrat, la notification de changement incomplète, l’absence de preuve de livraison, l’objection sans preuve de livraison et le dossier de sortie sans base de décision. Les étiquettes automatiques telles que « ÉVALUER L’APPLICABILITÉ », « COMPLÉTER LE CONTRAT », « ÉVALUER L’OBJECTION AVANT L’ÉCHÉANCE » et « LA SORTIE NÉCESSITE UNE DÉCISION MANUELLE » ne signifient jamais que les exigences légales sont satisfaites. Le fichier client est réinitialisé et ne contient aucun dossier de test fictif.

Comment gérer concrètement le changement

1. Recevez et conservez la notification originale. Identifiez l’expéditeur réel, le contrat, le moment de l’envoi, la nouvelle chaîne de sous-traitance et la date de mise en œuvre prévue.
2. Vérifiez l’applicabilité. Évaluez l’entité soumise à DORA, la fonction critique/importante, la substance du changement, la chaîne de sous-traitance et l’autorisation contractuelle d’engager des sous-traitants.
3. Vérifiez le délai de notification. L’article 5.2 exige un délai contractuel raisonnable pour l’approbation ou l’objection. Il n’existe aucune règle générale fixant un délai de 30 jours. La personne responsable doit déterminer la date limite de réponse en fonction du contrat réel.
4. Évaluez les risques du changement. Examinez la concentration, la continuité, la sécurité, la localisation des données, les ressources des sous-traitants ainsi que les droits d’accès, d’inspection et d’audit.
5. Demandez les compléments nécessaires. Demandez au fournisseur principal de documenter la chaîne et l’effet réel du changement. L’entreprise financière conserve sa responsabilité même si le fournisseur a réalisé sa propre évaluation des risques.
6. Prenez et communiquez une décision compétente. Si le risque dépasse l’appétence ou la tolérance au risque, l’entité financière doit, conformément à l’article 5.4 et avant la fin du délai, informer le fournisseur, faire part de son objection et demander des modifications. Conservez les preuves réelles d’envoi et de réception.
7. Suivez la mise en œuvre et l’éventuelle sortie. Vérifiez la date effective de mise en œuvre. Examinez l’article 6, l’article 28.7 de DORA et votre propre contrat avant toute résiliation ou migration.

Que disent DORA et le règlement (UE) 2025/532 ?

Article 3 du règlement 2025/532 : l’entité financière doit réaliser des évaluations pertinentes des sous-traitants qui soutiennent des fonctions critiques ou importantes. Se fier à la diligence raisonnable du fournisseur informatique ne dégage pas l’entreprise de sa responsabilité finale.

Article 4 : le contrat doit identifier les services informatiques pertinents pouvant être confiés à des sous-traitants et les conditions dans lesquelles. Les éventuels ajustements contractuels nécessaires doivent être réalisés en temps utile et planifiés de manière documentée.

Articles 5.1 à 5.3 : les changements substantiels doivent être notifiés suffisamment tôt pour que l’entreprise puisse évaluer le risque et la capacité du fournisseur à respecter le contrat. Un délai d’objection raisonnable doit être prévu contractuellement. Le fournisseur ne peut mettre en œuvre le changement qu’après l’approbation de l’entité financière ou si celle-ci n’a pas fait part de son objection avant la fin du délai, conformément au contrat et au cadre réglementaire applicables.

Article 5.4 : si le changement dépasse la tolérance au risque établie, l’entreprise doit avant la fin du délai communiquer son évaluation, faire part de son objection et demander des modifications. Cela ne signifie pas qu’un système peut automatiquement déterminer le risque.

Article 6 : le contrat doit prévoir un droit de résiliation notamment si le fournisseur met en œuvre le changement malgré une objection, s’il le met en œuvre prématurément sans approbation ou s’il confie des services pertinents sans que le contrat ne l’autorise expressément. Il s’agit d’un droit contractuel conditionnel – et non d’une résolution automatique. Vérifiez également l’article 28.7 de DORA.

Sources principales : règlement délégué (UE) 2025/532 de la Commission et DORA (UE) 2022/2554. Consultez la liste des actes d’exécution de la Commission européenne.

Différence avec le pack DORA général de Mallbutiken

Le Pack de modèles DORA pour contrats avec les fournisseurs informatiques et conformité 2026 concerne la gestion contractuelle globale et la conformité réglementaire. Ce produit spécialisé traite d’une étape de travail plus ciblée : un changement effectivement notifié dans la chaîne de sous-traitance, avec évaluation, réponse dans le délai contractuel, objection et évaluation de sortie distincte. Pour une demande de changement informatique générale, il existe également Demande de changement informatique & gestion des changements.

Foire aux questions

Tous les changements de sous-traitant doivent-ils être approuvés conformément à DORA ?

Non. Ces règles spécifiques concernent les services informatiques qui soutiennent des fonctions critiques ou importantes ou des parties substantielles de celles-ci, ainsi que tout changement substantiel pertinent. Examinez le service réel, son impact et le contrat.

Le délai d’objection est-il toujours de 30 jours ?

Non. Le règlement exige un délai de notification raisonnable dans le contrat. Il n’existe pas de délai universel de 30 jours prescrit. Un tel délai ne s’applique que s’il découle du contrat pertinent et qu’il est applicable.

Que faisons-nous si l’évaluation des risques dépasse l’appétence au risque ?

L’article 5.4 indique que l’entreprise doit informer de son évaluation des risques, faire part de son objection et demander des modifications avant la fin du délai contractuel. Cette démarche doit être effectuée par la fonction compétente et documentée.

Pouvons-nous résilier le contrat si le changement a déjà été mis en œuvre ?

L’article 6 prévoit des possibilités de résiliation fondées sur le contrat dans des situations précises. Vérifiez le contrat, le déroulement réel des faits, le risque et la continuité, et demandez au juriste responsable d’évaluer la mesure. Toutes les mises en œuvre ne donnent pas automatiquement un droit de résiliation.

L’évaluation des risques du fournisseur peut-elle remplacer la nôtre ?

Non. Le règlement indique que l’entité financière n’est pas déchargée de sa responsabilité finale au seul motif qu’elle se fie à la diligence raisonnable du fournisseur.

Excel peut-il calculer automatiquement un délai d’objection juridiquement correct ?

Non. Le classeur enregistre le délai qu’une personne responsable a établi après examen du contrat ; il ne calcule pas lui-même l’échéance contractuelle ni une approbation.

Tous les documents sont-ils disponibles en anglais ?

Non. Cinq modèles de travail, un guide suédois et le classeur Excel sont en suédois. Un guide d’utilisation anglais séparé décrit leur utilisation, mais ne constitue pas une traduction intégrale des modèles de travail.

Les fichiers PDF sont-ils remplissables ?

Non. Ce sont des copies A4 consultables et imprimables des documents Word, et non des formulaires PDF avec des champs interactifs.

Version, contrôle des sources et limites

Version 1.0 – 9 novembre 2026. Le contrôle des sources juridiques a été effectué à l’aide des actes officiels du droit de l’UE, et les fichiers DOCX, PDF et XLSX ont été examinés techniquement. Aucun juriste externe, autorité de surveillance ni auditeur informatique indépendant n’a examiné ou approuvé le matériel. Les modèles ne peuvent pas envoyer de notifications contractuelles, vérifier la sécurité réelle d’un sous-traitant ni approuver une décision de résiliation. Utilisez-les comme base administrative pour une évaluation séparée par un expert compétent.