Le registre d'informations DORA, sans partir du tableur
Par HodeitekPublié
Si vous êtes RSSI d'une entité financière et qu'on vous demande le registre d'informations DORA sans équipe d'ingénierie dédiée aux tiers, ce guide vous donne l'ordre de travail et ce qu'il faut décider avant d'ouvrir le moindre modèle.
Ce qu'on vous demande exactement
DORA est le règlement (UE) 2022/2554 et il s'applique depuis le 17 janvier 2025. Son article 28, paragraphe 3, oblige l'entité financière à tenir et à mettre à jour un registre d'informations sur tous les accords contractuels relatifs à l'utilisation de services TIC fournis par des prestataires tiers.
Le format n'est pas improvisé : le règlement d'exécution (UE) 2024/2956 fixe les modèles normalisés du registre. Il y a 15 modèles, ce qui invite à traiter le registre comme un jeu de données et non comme un document.
Par où commencer un lundi
Avant de remplir quoi que ce soit, ordonnez ce que vous avez déjà. Quatre décisions évitent l'essentiel des reprises.
- Listez chaque contrat où un tiers fournit un service TIC, pas seulement les contrats technologiques : aussi le prestataire de paie ou celui de la conservation de documents.
- Décidez qui est responsable de chaque contrat. Sans responsable, personne ne met la donnée à jour.
- Notez pour chaque prestataire son LEI et sa juridiction. Ces champs reviennent dans plusieurs modèles.
- Consignez au même endroit s'il existe un plan de sortie et un droit d'audit, deux des clauses que l'article 30 demande dans les contrats.
À quoi ressemble le contrôle des clauses
Trois prestataires inventés, pour voir quelle donnée est demandée par contrat. Ce ne sont pas des entités réelles ni des données d'un client.
| Prestataire | Service | Plan de sortie | Droit d'audit |
|---|---|---|---|
| Prestataire A | Hébergement cloud | Oui | Oui |
| Prestataire B | Passerelle de paiement | Oui | Non |
| Prestataire C | Conservation de documents | Non | Non |
Ce que fait HodeiShield et ce qu'il ne fait pas
HodeiShield réunit fournisseurs, contrats et concentration dans un même registre et peut générer le registre d'informations sous forme de paquet xBRL-CSV avec la structure des 15 modèles. Il enregistre le LEI et la juridiction par prestataire et suit le plan de sortie et le droit d'audit de l'article 30.
C'est une capacité partielle : l'export est en cours de finalisation. Il ne dépose rien auprès du superviseur et ne remplace pas la revue juridique. Le dépôt par le canal officiel reste à la charge de l'entité.
Sources
Voyez le registre avec vos propres fournisseurs
Lors d'une démo, nous parcourons le registre des prestataires TIC, les clauses et le paquet d'exemple avec des données d'exemple. Une personne de Hodeitek vous répond.