Art. 5 Évaluation ex ante des risques | RTS on ICT third-party service provider policy | DORA

1. La politique exige que les besoins métiers de l’entité financière soient définis avant la conclusion de tout accord contractuel.
1. La politique exige qu’une évaluation des risques soit effectuée au niveau de l’entité financière et, s’il y a lieu, aux niveaux consolidé et sous-consolidé, avant la conclusion de tout accord contractuel.
2. L’évaluation des risques tient compte de toutes les exigences pertinentes énoncées dans le règlement (UE) 2022/2554 et dans la législation sectorielle de l’Union applicable. Elle tient compte, en particulier, des incidences que peut avoir sur l’entité financière la fourniture de services TIC: les services numériques et de données fournis de manière permanente par l’intermédiaire des systèmes de TIC à un ou plusieurs utilisateurs internes ou externes, dont le matériel en tant que service et les services matériels qui englobent la fourniture d’assistance technique au moyen de mises à jour de logiciels ou de micrologiciels réalisées par le fournisseur de matériel, à l’exclusion des services de téléphonie analogique traditionnels; soutenant des fonctions critiques ou importantes: une fonction dont la perturbation est susceptible de nuire sérieusement à la performance financière d’une entité financière, ou à la solidité ou à la continuité de ses services et activités, ou une interruption, une anomalie ou une défaillance de l’exécution de cette fonction est susceptible de nuire sérieusement à la capacité d’une entité financière de respecter en permanence les conditions et obligations de son agrément, ou ses autres obligations découlant des dispositions applicables du droit relatif aux services financiers; par des prestataires tiers de tels services, et de tous les risques liés à cette fourniture, qui incluent:
  1. les risques opérationnels;
  2. les risques juridiques;
  3. les risques liés aux TIC;
  4. les risques réputationnels;
  5. les risques liés à la protection de données confidentielles ou à caractère personnel;
  6. les risques liés à la disponibilité des données;
  7. les risques liés au lieu où les données sont traitées et stockées;
  8. les risques liés à la situation géographique du prestataire tiers de services TIC: une entreprise qui fournit des services TIC;;
  9. les risques de concentration de TIC: une exposition à des prestataires tiers critiques de services TIC individuels ou multiples et liés, créant un degré de dépendance à l’égard de ces prestataires, de sorte que l’indisponibilité, la défaillance ou tout autre type d’insuffisance de ces derniers peut potentiellement mettre en péril la capacité d’une entité financière à assurer des fonctions critiques ou importantes, ou l’exposer à subir d’autres types d’effets préjudiciables, y compris des pertes importantes, ou mettre en péril la stabilité financière de l’Union dans son ensemble; au niveau de l’entité.