Dans un contexte de hausse du recours à des prestataires externes pour l’exécution de prestations présentant un caractère essentiel ou critique au sens de la réglementation prudentielle, l’Autorité de contrôle prudentiel et de résolution (ACPR) rappelle ce jeudi 22 juillet aux organismes qu’elle supervise leurs obligations en la matière — et notamment la nécessité de contrôler suffisamment les prestations qu’ils ont choisi d’externaliser.

Ces dernières années, un nombre croissant d’acteurs du secteur de la banque, de l’assurance ou des paiements, a confié à des prestataires externes l’exécution de prestations présentant de plus en plus souvent un caractère essentiel ou critique au sens des règlementations prudentielles en vigueur dans ces secteurs. Par exemple, l’externalisation de prestations informatiques essentielles — dont le recours à des services de « cloud » —, de fonctions de contrôle ou divers traitements de « back-office ».

Veiller aux contrôles appropriés

A l’occasion de ses contrôles, l’ACPR a pu constater que les organismes qu’elle supervise n’assuraient pas toujours un contrôle approprié des prestataires externes auxquels ils recourent. De même, elle a eu à connaître des situations où les organismes pouvaient se heurter à des difficultés pour accéder à toutes les informations relatives aux fonctions et activités sous-traitées.

Le principe général qui structure le recours à l’externalisation est que les organismes qui externalisent des prestations essentielles ou critiques demeurent pleinement responsables du respect de toutes les obligations qui leur incombent. En particulier, l’externalisation de prestations essentielles ne saurait conduire à un affaiblissement du système de gouvernance, de la maîtrise du risque opérationnel, de la continuité de l’activité, ni même de la capacité de contrôle du superviseur.

De l'organisme au prestataire

L’externalisation requiert donc la conclusion d’un contrat écrit entre l’organisme et son prestataire définissant clairement les droits et obligations des deux parties et la définition par l’organisme d’une politique formalisée de contrôle de ses prestataires externes. Il est attendu des prestataires auxquels recourent les organismes supervisés qu’ils se conforment aux procédures définies par ces derniers. Ceci concerne l’organisation et la mise en œuvre du contrôle des services fournis.

Cela implique que les organismes puissent, chaque fois que cela est nécessaire, avoir accès, dans des conditions qui leur permettent d’effectuer leurs contrôles avec diligence ou de les faire effectuer par des auditeurs extérieurs, le cas échéant sur place, à toutes les informations sur les services mis à leur disposition. En particulier, les prestataires ne sauraient entraver la conduite de travaux d’audit en leur sein en imposant des conditions ou des restrictions spécifiques.

L’autorité de contrôle peut de plus demander à avoir un accès direct aux informations d’un sous-traitant voire diligenter chez lui une extension d’un contrôle sur place conduit au sein d’un organisme, relativement à l’activité externalisée dont les conclusions sont adressées à l’organisme supervisé par l’ACPR puisque c’est ce dernier qui reste responsable in fine.