Le 18 septembre 2026, l’EBA a publié ses lignes directrices finales sur la gestion des risques liés aux prestataires tiers pour les services non-ICT.
Cette publication marque une évolution importante du cadre européen : les nouvelles Guidelines ont vocation à remplacer celles de 2019 sur l’Outsourcing et à compléter le cadre introduit par DORA pour les services ICT.
Le nouveau cadre prévoit notamment :
-
Une approche élargie de la gestion des risques liés aux tiers, au-delà du seul périmètre de l’Outsourcing
-
Une attention renforcée aux prestations soutenant des fonctions critiques ou importantes
-
Une approche proportionnée à la criticité, aux risques et à la complexité des prestations
-
Une gestion de bout en bout de la relation avec les tiers : évaluation des risques, due diligence, contractualisation, sous-traitance, monitoring, documentation et stratégies de sortie
-
Une articulation avec DORA pour assurer une approche cohérente des risques tiers ICT et non-ICT.
Les relations existantes devront être revues afin d’être mises en conformité avec les nouvelles lignes directrices. Pour celles soutenant des fonctions critiques ou importantes, l’EBA fixe une échéance de deux ans à compter de la date d’application pour finaliser leur revue et leur documentation.
Ces nouvelles lignes directrices renforcent ainsi la gestion des risques liés aux tiers : mieux identifier les dépendances, évaluer la criticité des prestations, maîtriser les chaînes de sous-traitance et piloter les risques sur l’ensemble du cycle de vie de la relation.