Considérant 31
Règlement sur la résilience opérationnelle numérique du secteur financier · UE 2022/2554
| (31) | Compte tenu du risque systémique potentiel induit par des pratiques accrues d’externalisation et par la concentration des dépendances à l’égard des prestataires tiers de services TIC, et eu égard à l’insuffisance des mécanismes nationaux fournissant aux autorités de surveillance financière des outils adéquats permettant de quantifier et de qualifier le risque lié aux TIC se produisant chez les prestataires tiers critiques de services TIC et de remédier à leurs conséquences, il est nécessaire de mettre en place un cadre de supervision approprié permettant d’assurer un suivi continu des activités des prestataires tiers de services TIC qui sont des prestataires tiers critiques de services TIC pour les entités financières, tout en veillant à ce que la confidentialité et la sécurité des clients autres que les entités financières soient préservées. Bien que la fourniture de services TIC intra-groupe comporte des risques et des avantages spécifiques, elle ne devrait pas être automatiquement considérée comme moins risquée que la fourniture de services TIC par des prestataires extérieurs à un groupe financier, et devrait donc être soumise au même cadre réglementaire. Toutefois, lorsque les services TIC sont fournis au sein du même groupe financier, les entités financières peuvent avoir un contrôle plus strict sur les prestataires intra-groupe, ce qui doit être pris en considération dans l’évaluation générale des risques. |
Au Luxembourg, la CSSF est l'autorité competente pour la supervision DORA des entités financieres et coordonne avec les ESAs la désignation des CTPP. La loi du 1er juin 2023 portant transposition opérationnelle et la circulaire CSSF 22/806 sur les arrangements d'externalisation (mise à jour pour s'articuler avec DORA) restent applicables : la CSSF attend une notification préalable des arrangements d'externalisation critiques, y compris intra-groupe, et exige un registre conforme au format ESAs. Spécificité locale : pour les fonctions critiques ou importantes au sens de la circulaire 22/806, l'intra-groupe doit être documente avec un group outsourcing policy approuve par le conseil d'administration de l'entité luxembourgeoise, même si le service est rendu depuis la maison mere.
Pratique Luxgap : sur les banques privées et depositaires luxembourgeois dependant d'une DSI groupe a Zurich, Paris ou Francfort, nous reconstituons la matrice d'externalisation intra-groupe avec les preuves de contrôle effectif (droits d'audit exerces, comites mixtes, exit plan teste) attendues par la CSSF lors des inspections sur place.
