Cloud : l'AMF applique les orientations de l'ESMA sur la sous-traitance à des prestataires de services en nuage
L’AMF annonce se conformer aux orientations récemment mises à jour par l’Autorité européenne des marchés financiers (ESMA) visant à préciser des bonnes pratiques en matière de recours à des prestataires pour des services en nuage par certaines entités financières qui ne seraient pas soumises au règlement DORA.
Mises à jour et publiées le 30 septembre 2025, les orientations de l’ESMA détaillent des bonnes pratiques visant à aider les entités financières et les autorités nationales à identifier, traiter et assurer le suivi des risques découlant des accords de sous-traitance auprès de prestataires de services en nuage.
La mise à jour de ces orientations, initialement publiées en 2021 par l’ESMA, intervient dans le contexte de l’entrée en application du règlement européen sur la résilience opérationnelle numérique du secteur financier, appelé « règlement DORA », le 17 janvier 2025. Le règlement DORA prévoit déjà des obligations concernant la sous-traitance de services ou de fonctions à des prestataires. En conséquence, seul le périmètre des orientations est modifié pour indiquer que les orientations mises à jour s’appliquent désormais uniquement à certains dépositaires de FIA et d’OPCVM qui ne seraient pas déjà couverts par DORA. En revanche, les obligations prescrites par ces orientations mises à jour ne sont pas modifiées, et restent identiques à celles détaillées dans les précédentes orientations.
Les dépositaires de FIA et d'OPCVM concernés doivent suivre des bonnes pratiques en matière de recours à des prestataires externes pour des services en nuage, parmi lesquelles :
- l’évaluation des risques et les diligences raisonnables à effectuer à l’égard des prestataires de services en nuage ;
- les dispositifs de gouvernance, d’organisation et de contrôle à mettre en place afin de surveiller la performance de leurs prestataires, et de pouvoir mettre fin à leurs accords d’externalisation de services en nuage sans perturber leurs activités ;
- les éléments contractuels devant figurer dans leurs accords d’externalisation de services en nuage ;
- les informations à notifier aux autorités compétentes.
Sur le même thème
