Risque tiers dans les banques : les preuves attendues par le régulateur

Pour les banques aux Émirats, recourir à un prestataire externe n’est pas qu’une décision d’achat. Le règlement de la Banque centrale sur l’externalisation (circulaire n° 14/2021) attend des banques qu’elles prouvent comment chaque accord a été évalué, approuvé et suivi. Tous les accords existants devaient être conformes au 31 décembre 2023.

Ce que demande le règlement

• Une politique approuvée par le conseil qui définit l’évaluation de l’importance (art. 2.5.1).
• Un test d’importance. Une externalisation importante est une activité dont l’interruption pourrait affecter fortement l’activité ou la gestion des risques de la banque (art. 1.9).
• Un registre complet de toutes les externalisations, importantes ou non. Il indique le prestataire, les dates, le service, la présence de données confidentielles et le caractère important (art. 3.1 et 3.2). La Banque centrale peut le demander (art. 9.3).
• Une non-objection préalable de la Banque centrale avant toute externalisation importante (art. 8.1).
• Des contrats écrits qui donnent à la Banque centrale accès au prestataire et à la banque un accès complet à ses données, y compris après la fin du contrat (art. 5.2, 5.7, 5.9).
• Un suivi continu par l’audit interne et la conformité, rapporté au conseil ou au comité d’audit (art. 7.2 et 7.3).
• Des données conservées aux Émirats. Les données confidentielles des clients ne peuvent quitter le pays sans l’accord de la Banque centrale et le consentement écrit du client (art. 6.1 et 6.3).

Où les banques se font surprendre

Les règles sont claires. Ce sont souvent les preuves qui manquent. Écarts typiques :

1. Le registre est un tableur périmé le lendemain de sa mise à jour.
2. L’importance a été évaluée une fois, à la signature, puis plus jamais.
3. Les diligences sont dispersées entre e-mails et dossiers partagés.
4. Personne ne peut montrer, pour un prestataire donné, qui a validé et sur quelles preuves.
5. Les paiements continuent vers un prestataire dont la revue a expiré.

Ce qu’il faut viser

Un dossier par prestataire, du premier document au dernier audit. Une note qui détermine la profondeur de la revue. Un registre toujours à jour, car construit à partir des dossiers et non saisi à part. Et un lien avec les paiements, pour qu’un prestataire qui échoue à un contrôle ne puisse pas être payé.

VendorGuard est conçu pour cela. Il note chaque tiers selon son risque, réunit les preuves et le registre au même endroit, produit le reporting pour les comités et affiche un verdict de paiement dans Oracle Fusion.