Le cadre réglementaire des opérations d'externalisation

L’externalisation de certains process (back-office, compliance, …), associés aux activités commerciales, bancaires et de marchés, se démultiplie depuis plusieurs années, les institutions financières souhaitant gagner en compétitivité, bénéficier des nouvelles technologies, améliorer leur flexibilité et leur efficacité ainsi que réduire leurs coûts. Dans ce contexte, l’EBA (European Banking Authority) a élaboré des lignes directrices, publiées le 25 février 2019, harmonisant ainsi les pratiques bancaires jusque-là encadrées sur le plan national. Par ailleurs, l’arrêté du 3 novembre 2014 a été modifié afin d’intégrer les dispositions de l’arrêté du 25 février 2021. Pour les autres secteurs et concernant le cloud, des orientations sur le sujet ont été publiées respectivement par l’EOPIA le 6 février 2020 puis par l’ESMA le 10 mai 2021. Plus généralement, le projet de règlement européen DORA devra également être anticipé.

Horaire : 9h00 – 17h00

1. Rappel des dispositions sur l’externalisation de l’arrêté du 3 novembre 2014 relatif au contrôle interne

1.1 Définitions (i) de l’externalisation, (ii) des prestations de services essentielles ou importantes

1.2 Régimes applicables à l’externalisation : arrêté du 3 novembre 2014, règlement général de l’AMF, code des assurances, MAR, etc. Articulation entre dispositions générales et spéciales.

2. Nouvelles Lignes directrices de l’EBA

2.1 Date d’entrée en vigueur & période transitoire

2.2 Périmètre

• Types d’établissements concernés
• Groupe de société -entités consolidées/sous-consolidées (entités d’assurance, entités régulées et non régulées d’un groupe bancaire)
• Les difficultés propres aux situations internationales (filiales à l’étranger, UE et hors UE)
• Mise en œuvre par les autorités nationales compétentes

2.3 Règles de gouvernance

• Maintien du principe de proportionnalité
• Maintien de la responsabilité du délégant
• Exigence d’un Registre à jour dûment documenté
• Gestion des conflits d’intérêts

2.4 Règles à prendre en compte lors de l’analyse des dossiers

• Dossiers soumis aux lignes directrices : extension du périmètre de l’analyse en risque
• Prestations ne relevant pas de l’externalisation
• Règles spécifiques pour les prestations dites « critiques ou importantes »
• Contrôles appropriés/Due diligences (contrôles en amont et en aval (suivi des KPI))

2.5 Règles spécifiques concernant le contrat signé avec le prestataire de services (auditabilité, réversibilité…)

2.6 Stratégie de sortie

2.7 Nouvelles attentes sur l’évaluation des concentrations de risques chez les prestataires de services

2.8 Le cloud : traitement particulier dans le cadre des lignes directrices

2.9 Adaptation juridique aux nouvelles exigences dans un délai contraint

3.Spécificité pour les établissements de petite taille

4. Présentation et analyse de qualifications de prestations externalisées