Le registre d’information DORA, expliqué

C’est un ensemble de modèles de déclaration liés dans lesquels une entité financière consigne chacun de ses accords contractuels TIC, tenu et mis à jour selon la norme d’exécution qui en fixe le format.^[1]

Les informations utiles relatives à tous les services TIC fournis par des prestataires directs, ainsi que tous les sous-traitants qui sous-tendent de fait un service TIC soutenant une fonction critique ou importante.^[2]

Un LEI valide et actif, ou l’EUID, et les deux le cas échéant, pour chaque prestataire tiers de services TIC qui est une personne morale.^[4]

Les deux sont possibles : un registre se tient au niveau de l’entité, ou aux niveaux sous-consolidé et consolidé, et un registre consolidé couvre toutes les entités financières et tous les prestataires TIC intra-groupe du groupe.^[5]

La norme d’exécution énonce six principes de qualité des données : exactitude, exhaustivité, cohérence, intégrité, uniformité et validité.^[6]

Un paquet de reporting xBRL-CSV conforme à Report Package 1.0 : une archive contenant META-INF/reportPackage.json et un dossier reports, encodée en UTF-8.^[8]

L’ABE publie 120 contrôles répartis en quatre catégories : contrôles techniques, contrôles techniques DPM, règles de validation métier DPM et contrôles LEI/EUID.^[10]

Quatorze modèles portent le registre, de RT.01.01 à RT.07.01, plus RT.99.01 — une légende des valeurs autorisées employées dans les autres, et non un modèle que l’on déclare.^[12]

Le titre et la description de chaque modèle ci-dessous sont le texte en vigueur de l’annexe I, dans la langue que vous lisez, et non notre résumé de celui-ci.

RT.01.01RT.01.01RT.01.01Entité tenant le registre d’informationsB_01.016 champsCe modèle indique l’entité qui tient et met à jour le registre d’informations au niveau de l’entité ainsi qu’aux niveaux sous-consolidé et consolidé, respectivement.Un responsable conformité, dans une banque de taille moyenne, prépare la transmission. Avant toute chose, le fichier doit dire qui le dépose : le LEI de la banque, son pays, son type et l’autorité destinataire. Cette ligne unique, c’est RT.01.01.Si cette ligne est fausse, un registre par ailleurs correct est déposé au nom de la mauvaise entité.Fiche complète →Entité tenant le registre d’informationsB_01.01

Ce modèle indique l’entité qui tient et met à jour le registre d’informations au niveau de l’entité ainsi qu’aux niveaux sous-consolidé et consolidé, respectivement.

RT.01.02RT.01.02RT.01.02Liste des entités comprises dans le périmètre de consolidationB_01.0211 champsCe modèle indique toutes les entités appartenant au groupe. Lorsque l’entité financière responsable de la tenue et de la mise à jour du registre d’informations n’appartient pas à un groupe, seule cette entité financière est déclarée dans ce modèle.Un groupe d’assurance dépose un registre unique pour l’ensemble du groupe. RT.01.02 recense chaque entité du périmètre de consolidation — LEI, pays, entreprise mère, total de bilan — afin qu’un superviseur sache de quelles entités juridiques parle le reste du registre.Chaque LEI employé ailleurs dans le registre est censé avoir été déclaré ici d’abord.Fiche complète →Liste des entités comprises dans le périmètre de consolidationB_01.02

Ce modèle indique toutes les entités appartenant au groupe. Lorsque l’entité financière responsable de la tenue et de la mise à jour du registre d’informations n’appartient pas à un groupe, seule cette entité financière est déclarée dans ce modèle.

RT.01.03RT.01.03RT.01.03Liste des succursalesB_01.034 champsCe modèle indique les succursales des entités financières visées au modèle B_01.02.Une banque française exploite une succursale en Belgique. La succursale n’est pas une entité juridique distincte et n’a pas de LEI propre : elle ne peut donc pas figurer dans RT.01.02. C’est dans RT.01.03 qu’elle est nommée et rattachée à son siège.Déclarer une succursale comme s’il s’agissait d’une entité juridique est l’une des erreurs de structure les plus faciles à commettre.Fiche complète →Liste des succursalesB_01.03

Ce modèle indique les succursales des entités financières visées au modèle B_01.02.

RT.02.01RT.02.01RT.02.01Accords contractuels — informations généralesB_02.015 champsCe modèle énumère tous les accords contractuels conclus avec des prestataires tiers directs de services TIC.L’équipe achats rassemble tous les contrats TIC en vigueur. Chacun reçoit ici un numéro de référence, avec l’indication qu’il est isolé ou rattaché à un accord-cadre, et son coût de l’exercice précédent.Les numéros de référence créés ici sont la clé qui relie entre elles la plupart des autres parties du registre.Fiche complète →Accords contractuels — informations généralesB_02.01

Ce modèle énumère tous les accords contractuels conclus avec des prestataires tiers directs de services TIC.

RT.02.02RT.02.02RT.02.02Accords contractuels — informations spécifiquesB_02.0218 champsCe modèle fournit des détails sur chaque accord contractuel énuméré dans le modèle B_02.01 en ce qui concerne: a) les services TIC inclus dans le champ d’application de l’accord contractuel; b) les fonctions des entités financières soutenues par ces services TIC; c) d’autres informations importantes concernant les services TIC spécifiques fournis (par exemple: délai de préavis, droit régissant l’accord, etc.).Pour un même contrat cloud, c’est le formulaire détaillé : quelle entité l’utilise, quel prestataire le fournit, le type de service, les dates de début et de fin, les préavis de part et d’autre, le droit applicable, le lieu de stockage des données et leur sensibilité.Il porte plus de champs que tout autre modèle : c’est là que passe l’essentiel du temps de saisie.Fiche complète →Accords contractuels — informations spécifiquesB_02.02

Ce modèle fournit des détails sur chaque accord contractuel énuméré dans le modèle B_02.01 en ce qui concerne: a) les services TIC inclus dans le champ d’application de l’accord contractuel; b) les fonctions des entités financières soutenues par ces services TIC; c) d’autres informations importantes concernant les services TIC spécifiques fournis (par exemple: délai de préavis, droit régissant l’accord, etc.).

RT.02.03RT.02.03RT.02.03Liste des accords contractuels intra-groupeB_02.032 champsCe modèle indique les liens entre les accords contractuels intra-groupe et les accords contractuels conclus avec des prestataires tiers de services TIC qui ne font pas partie du groupe en utilisant les numéros de référence des accords contractuels lorsqu’une partie de la chaîne d’approvisionnement des services TIC est intra-groupe.Une filiale achète sa capacité de centre de données à sa propre maison mère, qui l’achète elle-même à un prestataire externe. RT.02.03 relie l’accord interne à l’accord externe.Sans lui, un accord intra-groupe paraît clore la chaîne d’approvisionnement alors qu’il ne la clôt pas.Fiche complète →Liste des accords contractuels intra-groupeB_02.03

Ce modèle indique les liens entre les accords contractuels intra-groupe et les accords contractuels conclus avec des prestataires tiers de services TIC qui ne font pas partie du groupe en utilisant les numéros de référence des accords contractuels lorsqu’une partie de la chaîne d’approvisionnement des services TIC est intra-groupe.

RT.03.01RT.03.01RT.03.01Entités qui signent les accords contractuels pour la réception d’un ou de plusieurs services TIC ou pour le compte des entités ayant recours au(x) service(s) TICB_03.012 champsCe modèle fournit des informations sur l’entité qui signe les accords contractuels avec le prestataire tiers direct de services TIC pour le compte de l’entité ayant recours aux services TIC.Un groupe signe un contrat de façon centralisée et quatre filiales utilisent le service. RT.03.01 nomme l’entité qui a réellement apposé sa signature — souvent différente de celle qui utilise le service.Signer et utiliser sont deux actes distincts, et le registre les demande séparément.Fiche complète →Entités qui signent les accords contractuels pour la réception d’un ou de plusieurs services TIC ou pour le compte des entités ayant recours au(x) service(s) TICB_03.01

Ce modèle fournit des informations sur l’entité qui signe les accords contractuels avec le prestataire tiers direct de services TIC pour le compte de l’entité ayant recours aux services TIC.

RT.03.02RT.03.02RT.03.02Prestataires tiers de services TIC qui signent les accords contractuels pour la fourniture de services TICB_03.023 champsCe modèle indique tous les prestataires tiers de services TIC visés au modèle B_05.01 qui signent les accords contractuels visés au modèle B_02.01 pour la fourniture des services TIC.Le même contrat vu de l’autre côté : laquelle des entités juridiques du prestataire l’a signé. Un fournisseur contracte souvent par une filiale locale plutôt que sous le nom du groupe figurant sur la facture.L’entité juridique signataire n’est fréquemment pas la marque auprès de laquelle le service est acheté.Fiche complète →Prestataires tiers de services TIC qui signent les accords contractuels pour la fourniture de services TICB_03.02

Ce modèle indique tous les prestataires tiers de services TIC visés au modèle B_05.01 qui signent les accords contractuels visés au modèle B_02.01 pour la fourniture des services TIC.

RT.03.03RT.03.03RT.03.03Entités signataires des accords contractuels pour la fourniture de services TIC à d’autres entités relevant du périmètre de consolidationB_03.032 champsCe modèle indique toutes les entités visées au modèle B_01.02 qui signent les accords contractuels visés au modèle B_02.01 pour la fourniture de services TIC à d’autres entités relevant du périmètre de consolidation.Le centre de services partagés d’un groupe fournit l’informatique à ses entités sœurs. Il est prestataire, et il appartient au groupe : RT.03.03 consigne sa signature pour fournir les autres.Un prestataire intra-groupe reste un prestataire, et l’omettre revient à sous-estimer les dépendances propres du groupe.Fiche complète →Entités signataires des accords contractuels pour la fourniture de services TIC à d’autres entités relevant du périmètre de consolidationB_03.03

Ce modèle indique toutes les entités visées au modèle B_01.02 qui signent les accords contractuels visés au modèle B_02.01 pour la fourniture de services TIC à d’autres entités relevant du périmètre de consolidation.

RT.04.01RT.04.01RT.04.01Entités ayant recours aux services TICB_04.014 champsCe modèle indique toutes les entités qui utilisent les services TIC fournis par des prestataires tiers de services TIC et qui sont inscrites dans le registre d’informations.Un contrat, plusieurs utilisateurs. RT.04.01 répond à la question « qui consomme réellement ce service » : chaque entité, utilisateur direct ou succursale, rattachée au numéro de référence du contrat.C’est ce qui transforme une liste de contrats en cartographie des dépendances.Fiche complète →Entités ayant recours aux services TICB_04.01

Ce modèle indique toutes les entités qui utilisent les services TIC fournis par des prestataires tiers de services TIC et qui sont inscrites dans le registre d’informations.

RT.05.01RT.05.01RT.05.01Prestataires tiers de services TICB_05.019 champsCe modèle énumère et fournit des informations générales permettant d’identifier: a) les prestataires tiers directs de services TIC; b) les prestataires de services TIC intra-groupe; c) tous les sous-traitants inclus dans le modèle B_05.02 qui font partie de la chaîne d’approvisionnement des services TIC; d) l’entreprise mère ultime des prestataires tiers de services TIC énumérés aux points a), b) et c).La liste des prestataires. Pour chacun : son code d’identification et le type de ce code, son nom, le pays de son siège, le coût annuel total et son entreprise mère ultime.Chaque code d’identification y est lu au regard du type de code qu’il déclare être.Fiche complète →Prestataires tiers de services TICB_05.01

Ce modèle énumère et fournit des informations générales permettant d’identifier: a) les prestataires tiers directs de services TIC; b) les prestataires de services TIC intra-groupe; c) tous les sous-traitants inclus dans le modèle B_05.02 qui font partie de la chaîne d’approvisionnement des services TIC; d) l’entreprise mère ultime des prestataires tiers de services TIC énumérés aux points a), b) et c).

RT.05.02RT.05.02RT.05.02Chaîne d’approvisionnement des services TICB_05.027 champsCe modèle indique et relie les prestataires tiers de services TIC qui font partie de la même chaîne d’approvisionnement des services TIC.Le prestataire de paie d’une banque héberge ses données chez un fournisseur cloud, lequel recourt à une troisième société pour les sauvegardes. RT.05.02 consigne cette chaîne rang par rang — la partie du registre à laquelle la plupart des entités ne peuvent pas répondre avec leurs seuls contrats, la réponse étant chez le prestataire.La sous-traitance est l’endroit où surgit une dépendance que personne n’a contractée.Fiche complète →Chaîne d’approvisionnement des services TICB_05.02

Ce modèle indique et relie les prestataires tiers de services TIC qui font partie de la même chaîne d’approvisionnement des services TIC.

RT.06.01RT.06.01RT.06.01Identification des fonctionsB_06.0110 champsCe modèle indique les fonctions de l’entité financière ayant recours aux services TIC et fournit des informations sur elles.Avant de pouvoir évaluer un service, l’entité nomme ses propres fonctions — « exécution des paiements de détail », par exemple — et indique si chacune est critique ou importante, pourquoi, et combien de temps elle pourrait être interrompue. Les identifiants de fonction définis ici servent dans tout RT.02.02.Rien en aval ne peut être classé tant que les fonctions n’ont pas été nommées ici.Fiche complète →Identification des fonctionsB_06.01

Ce modèle indique les fonctions de l’entité financière ayant recours aux services TIC et fournit des informations sur elles.

RT.07.01RT.07.01RT.07.01Évaluations des services TICB_07.0112 champsCe modèle recueille des informations relatives à l’évaluation des risques des services TIC (par exemple, la substituabilité, la date du dernier audit, etc.) lorsque ces services TIC soutiennent une fonction critique ou importante, ou une partie significative de celle-ci.Pour chaque service soutenant une fonction critique ou importante : ce prestataire est-il remplaçable, quand a-t-il été audité pour la dernière fois, existe-t-il un plan de sortie, le service pourrait-il être réinternalisé, un prestataire de remplacement a-t-il été identifié.Ce sont les appréciations qu’aucun prestataire ne peut porter à votre place.Fiche complète →Évaluations des services TICB_07.01

Ce modèle recueille des informations relatives à l’évaluation des risques des services TIC (par exemple, la substituabilité, la date du dernier audit, etc.) lorsque ces services TIC soutiennent une fonction critique ou importante, ou une partie significative de celle-ci.

RT.99.01RT.99.01RT.99.01Légende d’optionsDéfinitions des entités ayant recours aux services TICCe modèle reprend les explications, les significations et les définitions, internes à l’entité, de l’ensemble fermé d’indicateurs utilisé par l’entité financière dans le registre d’informations.RT.07.01 demande de qualifier l’incidence d’une interruption de service : faible, moyenne ou élevée. RT.99.01 est l’endroit où l’entité écrit ce qu’elle entend par « élevée ». Elle ne porte aucune donnée du registre : elle est la clé de lecture des réponses à listes fermées données ailleurs.Sans elle, un superviseur lisant « élevée » n’a aucun moyen de savoir ce que l’entité entendait par là.Fiche complète →Définitions des entités ayant recours aux services TICB_99.01

Ce modèle reprend les explications, les significations et les définitions, internes à l’entité, de l’ensemble fermé d’indicateurs utilisé par l’entité financière dans le registre d’informations.

L’outil gratuit de ce site lit un registre dans votre navigateur et rapporte ce que les contrôles publiés relèveraient, sans rien téléverser. Si vous préférez que le registre soit construit à partir de vos contrats plutôt que contrôlé après coup, c’est l’objet de la prestation.

Pour les sociétés de gestion et administrateurs de fonds

1. [1]L’ITS impose aux entités financières d’utiliser les modèles figurant aux annexes I à IV pour tenir et mettre à jour le registre d’informations conformément à l’article 28, paragraphe 3, du règlement (UE) 2022/2554, au niveau de l’entité ou aux niveaux sous-consolidé et consolidé. Voir la source (s’ouvre dans un nouvel onglet) ↩
2. [2]Le registre doit comporter les informations utiles relatives à tous les services TIC fournis par des prestataires tiers directs de services TIC, ainsi que des informations sur tous les sous-traitants qui sous-tendent de fait les services TIC soutenant des fonctions critiques ou importantes, ou des parties significatives de celles-ci. Voir la source (s’ouvre dans un nouvel onglet) ↩
3. [3]Un rang est attribué à chaque prestataire tiers de services TIC : le prestataire direct porte toujours le rang 1 et un sous-traitant un rang supérieur, un nombre plus faible signifiant une position plus proche de l’entité financière. Voir la source (s’ouvre dans un nouvel onglet) ↩
4. [4]Les entités financières utilisent un identifiant d’entité juridique (LEI) valide et actif ou l’identifiant unique européen (EUID) visé à l’article 16 de la directive (UE) 2017/1132, et, le cas échéant, ces deux identifiants, pour identifier tous leurs prestataires tiers de services TIC qui sont des personnes morales, excepté les personnes physiques agissant à titre professionnel. Voir la source (s’ouvre dans un nouvel onglet) ↩
5. [5]Le registre tenu et mis à jour aux niveaux sous-consolidé et consolidé comprend toutes les entités financières et tous les prestataires de services TIC intra-groupe qui font partie du sous-groupe et du groupe ; les entreprises mères tiennent compte de la législation sectorielle pertinente de l’Union lorsqu’elles déterminent quelles entités doivent y figurer. Voir la source (s’ouvre dans un nouvel onglet) ↩
6. [6]L’ITS énonce six principes de qualité des données que le registre doit respecter : exactitude, exhaustivité, cohérence, intégrité, uniformité et validité. Voir la source (s’ouvre dans un nouvel onglet) ↩
7. [7]Chaque élément de données ne porte qu’une seule valeur. Lorsque plusieurs valeurs sont valables, une ligne supplémentaire est ajoutée au modèle pour chacune d’elles. Voir la source (s’ouvre dans un nouvel onglet) ↩
8. [8]Une déclaration est un paquet de reporting xBRL-CSV conforme à Report Package 1.0, contenant META-INF/reportPackage.json et un dossier reports. Voir la source (s’ouvre dans un nouvel onglet) ↩
9. [9]Les valeurs issues d’une liste fermée doivent être écrites avec le préfixe eba_, par exemple eba_CT:x12. Voir la source (s’ouvre dans un nouvel onglet) ↩
10. [10]L’ABE publie 120 contrôles pour la déclaration du registre d’information, répartis en quatre catégories : contrôles techniques, contrôles techniques DPM, règles de validation métier DPM et contrôles LEI/EUID. Voir la source (s’ouvre dans un nouvel onglet) ↩
11. [11]Les contrôles techniques des AES sont des erreurs qui entraînent le rejet du registre déposé, tandis que les règles de validation métier DPM et les contrôles d’identifiants sont des avertissements : le registre est accepté, et l’entité est tenue de corriger puis de redéposer. Voir la source (s’ouvre dans un nouvel onglet) ↩
12. [12]Le modèle de déclaration des AES comporte 14 modèles de déclaration, de RT.01.01 à RT.07.01, plus RT.99.01, qui est une légende d’options et non un modèle à déclarer. spec/RegisterInformation.xlsx — Compté à partir du modèle de déclaration des AES conservé dans /spec/. Une URL publique pour ce classeur est en attente de confirmation du propriétaire (spec/SOURCES.md). ↩