Lorsque le règlement sur la résilience opérationnelle numérique (DORA) est entré en pleine application le 17 janvier 2025, les équipes de conformité étaient concentrées sur l'évident : les délais de notification des incidents, les programmes de tests de pénétration et les cadres de gestion des risques TIC. Les fournisseurs de vérification d'identité étaient à peine mentionnés dans les conversations sur la mise en œuvre.

Cet écart se comble rapidement. Dix-huit mois après l'application de DORA, les régulateurs et les équipes d'audit interne scrutent désormais les prestataires externes dont dépendent les entités financières pour leurs opérations continues — et les plateformes KYC se trouvent pleinement dans cette catégorie. Pour tout CASP, banque, établissement de paiement ou entreprise d'investissement utilisant un fournisseur externe de vérification d'identité, DORA a déjà modifié ce que cette relation doit être sur le plan contractuel, opérationnel et en termes de gestion des risques.

Ce que DORA Exige Réellement

DORA (règlement UE 2022/2554) établit un cadre harmonisé pour les risques TIC dans le secteur financier européen. Il s'applique aux banques, assureurs, entreprises d'investissement, prestataires de services sur crypto-actifs (CASP) sous MiCA, établissements de paiement et établissements de monnaie électronique — ainsi qu'aux fournisseurs TIC qui les soutiennent.

Le règlement repose sur cinq piliers :

Gestion du risque TIC — cadres de risque documentés, registres d'actifs et plans de reprise
Notification des incidents TIC — classification et notification aux autorités compétentes nationales (ACN) dans des délais définis
Tests de résilience opérationnelle numérique — tests périodiques incluant les Tests de Pénétration Pilotés par la Menace (TLPT)
Gestion du risque lié aux tiers TIC — évaluation structurée de tous les prestataires de services
Partage d'informations — échange volontaire de renseignements sur les menaces

Pour le KYC, le quatrième pilier est déterminant. L'article 28 de DORA exige des entités financières qu'elles tiennent un registre complet des prestataires tiers de services TIC. L'article 30 établit les éléments contractuels obligatoires pour chaque accord avec ces prestataires. Les articles 31 à 44 instituent un processus de désignation pour les prestataires jugés "critiques" — ceux dont la défaillance aurait des effets systémiques sur le secteur financier.

Pourquoi les Fournisseurs KYC Tombent sous les Règles des Tiers TIC

Une plateforme de vérification d'identité n'est pas un processeur de paiement ni un fournisseur de core banking au sens traditionnel. Mais c'est bien un prestataire tiers de services TIC au sens de la définition de DORA : toute entreprise fournissant des services numériques et de données de manière continue à des entités financières, y compris les plateformes cloud, l'analyse de données, les logiciels en tant que service et tout composant de service qui soutient les processus métier.

Cette définition couvre pratiquement toutes les solutions KYC hébergées en externe.

Le test opérationnel est simple : si votre fournisseur de vérification d'identité était indisponible à 09h00 un lundi matin, pourriez-vous continuer à intégrer des clients, effectuer des vérifications de mise à jour ou traiter des transactions nécessitant une confirmation d'identité ? Pour la plupart des entités financières, la réponse est non — ou pas sans une perturbation opérationnelle significative. Cette dépendance rend le fournisseur TIC-critique pour la posture de résilience de l'entité.

En vertu de l'article 30, tout contrat avec un tel fournisseur doit désormais inclure :

Exigence Contractuelle	Objet sous DORA
Description complète des services et des emplacements des données	Savoir où s'effectue le traitement et quelles juridictions s'appliquent
Accords de niveau de service avec des indicateurs de performance définis	Base pour le suivi et l'escalade des incidents
Accessibilité des données à la résiliation	Soutien à la stratégie de sortie
Participation aux tests de résilience DORA (le cas échéant)	Droits d'inclusion dans les TLPT
Divulgation des sous-traitants	Visibilité sur les risques des tiers et quatrièmes parties
Droits d'audit et droit d'inspection	Supervision directe par l'entité financière ou un tiers désigné
Délais de notification des incidents	Notification coordonnée aux ACN
Dispositions de continuité d'activité	Obligations de reprise côté fournisseur

Si votre contrat actuel avec votre fournisseur KYC a été signé avant janvier 2025 et n'a pas été renégocié, il ne contient presque certainement pas tous ces éléments. C'est désormais une lacune de conformité.

La Désignation Critique des PSTTIC — Et ce que cela Signifie pour les Fournisseurs d'Identité

En vertu des articles 31 à 44, le Comité mixte des Autorités européennes de surveillance (AES — ABE, AEAPP et AEMF) désigne certains fournisseurs TIC comme "prestataires tiers critiques de services TIC" (PSTTIC critiques). Ces prestataires sont soumis à une surveillance directe par un Superviseur principal désigné de l'une des AES.

Les critères de désignation comprennent le risque de concentration (combien d'entités financières dépendent du prestataire), la pertinence systémique transfrontalière et la criticité pour les fonctions réglementées. Les grandes plateformes de vérification d'identité servant des centaines de banques et de CASP dans l'UE sont des candidates plausibles à la désignation.

La désignation a des conséquences opérationnelles réelles :

Accès du Superviseur principal : l'AES désignée peut demander des documents, effectuer des inspections sur place et émettre des recommandations
Obligations de remédiation : les entités financières doivent veiller à ce que leurs prestataires critiques se conforment aux recommandations des AES dans des délais définis
Exigences de stratégie de sortie : les entités financières doivent maintenir des plans crédibles pour migrer vers un autre prestataire si nécessaire

Pour les équipes de conformité, cela signifie que la diligence raisonnable à l'égard des fournisseurs n'est plus un exercice ponctuel de passation de marchés. C'est une obligation continue. Le même passage d'un suivi périodique à un suivi continu qui définit le KYC perpétuel s'applique également à la gestion des risques liés aux fournisseurs sous DORA.

Les CASP Ont une Double Exposition

Les prestataires de services sur crypto-actifs sous MiCA opèrent déjà sous une réglementation dense. Les obligations de règle de voyage de MiCA exigent que les CASP transmettent des informations sur le donneur d'ordre et le bénéficiaire pour chaque transfert de crypto-actifs. Satisfaire ces obligations dépend d'un accès continu aux données d'identité — ce qui, dans la plupart des cas, signifie une plateforme KYC externe.

DORA ajoute une deuxième couche. Les CASP sont dans le périmètre en tant qu'entités financières sous DORA. Leurs fournisseurs de vérification d'identité sont dans le périmètre en tant que tiers TIC. L'intersection crée des obligations composées : le CASP doit se conformer aux exigences KYC de MiCA, et il doit également s'assurer que la plateforme KYC satisfaisant à cette conformité répond aux normes de résilience de DORA.

L'environnement d'application post-MiCA a déjà relevé le niveau d'exigence pour la qualité du KYC crypto. DORA relève le niveau d'exigence pour la résilience du KYC crypto. Les CASP qui ont coché la case MiCA mais n'ont pas revu leurs contrats de fournisseur KYC dans le cadre de l'article 30 de DORA sont assis sur une seconde exposition de conformité.

Ce que les Entités Financières Doivent Faire Avant la Fin de l'Année

Les AES ont publié leurs orientations finales sur le cadre de gestion du risque lié aux tiers DORA à mi-2025. En août 2026, la plupart des grandes entités financières devraient avoir finalisé leurs évaluations initiales des risques TIC des tiers et renégocié leurs contrats. Les entités plus petites — en particulier les établissements de paiement et les établissements de monnaie électronique — ont été plus lentes, et les lacunes apparaissent dans les échanges avec les superviseurs.

Une liste de contrôle pratique pour les équipes de conformité examinant leurs accords avec les fournisseurs KYC :

Inventaire et classification

Le fournisseur de vérification d'identité figure-t-il dans votre registre des tiers DORA ?
A-t-il été classé par niveau de criticité (critique, important ou standard) ?
Tous les sous-traitants et gestionnaires de données en aval sont-ils documentés ?

Examen contractuel

Le contrat inclut-il les éléments obligatoires de l'article 30 ?
Les droits d'audit sont-ils explicites et exerçables ?
Existe-t-il une stratégie de sortie documentée avec des conditions de portabilité des données définies ?

Suivi continu

Les KPI et SLA sont-ils suivis et reportés ?
Existe-t-il un processus pour faire remonter la dégradation des performances du fournisseur au comité des risques ?
Le fournisseur a-t-il fourni la preuve de son propre cadre de gestion du risque TIC ?

Réponse aux incidents

Le fournisseur a-t-il l'obligation de vous notifier dans des délais compatibles avec DORA ?
Existe-t-il un protocole conjoint de réponse aux incidents testé au moins annuellement ?

L'Argument en Faveur du Monitoring Agentique

La gestion manuelle des risques liés aux fournisseurs ne passe pas à l'échelle. Une équipe de conformité gérant dix fournisseurs TIC avec des cycles de revue trimestriels trouvera impossible de maintenir une visibilité en temps réel sur l'état opérationnel, la posture de sécurité et les performances SLA de chaque fournisseur. C'est précisément là que les agents IA dans la conformité offrent un avantage structurel.

Les systèmes agentiques peuvent surveiller les performances SLA des fournisseurs en continu, signaler les anomalies dans les délais de traitement ou les taux d'échec, suivre les divulgations publiques et les dépôts réglementaires des prestataires tiers, et déclencher des flux d'escalade lorsque des seuils prédéfinis sont dépassés. La même logique d'IA qui rend le KYC agentique efficace pour la surveillance continue des clients s'applique directement à la surveillance continue des fournisseurs.

DORA n'impose pas d'outils spécifiques. Mais il impose des processus continus — et les processus continus, à l'échelle, nécessitent de l'automatisation.

L'Application est en Marche

Le premier cycle de supervision DORA par les ACN dans toute l'UE est maintenant en cours. Les AES consolident les registres des tiers pour identifier les schémas de risque de concentration. Les entités qui n'ont pas renégocié leurs contrats avec les fournisseurs KYC, tenu leurs registres des tiers ou établi des programmes de surveillance continue sont de plus en plus visibles pour les superviseurs.

Les conséquences en matière d'application ne sont pas négligeables. DORA donne aux ACN le pouvoir d'imposer :

Des astreintes périodiques pouvant atteindre 1 % du chiffre d'affaires mondial quotidien moyen pour non-conformité des entités financières
Des interdictions temporaires d'utilisation des services TIC de prestataires critiques non conformes
La publication des infractions

Pour les fintechs plus petites et les CASP, le préjudice réputationnel d'une publication publique peut dépasser la sanction financière. Les exigences de conformité KYC au titre de la loi sur l'IA ont déjà focalisé l'attention des conseils d'administration sur la gouvernance technologique dans les systèmes d'identité. DORA ajoute la résilience opérationnelle à cet agenda de gouvernance.

Ce qu'il Faut Demander à votre Fournisseur KYC Maintenant

L'action la plus directe que les entités financières puissent entreprendre est d'interroger leurs fournisseurs de vérification d'identité avec un ensemble structuré de questions liées à DORA. Les réponses du fournisseur révèlent à la fois sa propre posture de conformité et les lacunes de votre cadre contractuel existant :

Disposez-vous d'un cadre documenté de gestion du risque TIC aligné sur DORA ?
Quelle est votre classification des incidents TIC majeurs et quel est votre délai de notification ?
Avez-vous fait l'objet, ou anticipez-vous de faire l'objet, d'une revue de désignation en PSTTIC critique ?
Pouvez-vous fournir un registre de vos sous-traitants matériels et de leurs emplacements géographiques ?
Quels droits d'audit pouvez-vous proposer — documentaires, à distance ou sur place ?
Quels engagements de continuité d'activité pouvez-vous prendre pour la disponibilité de la vérification d'identité ?
Disposez-vous d'un programme de tests de pénétration publié ?

Les fournisseurs qui ne peuvent pas répondre clairement à ces questions ne sont pas prêts pour DORA. Et si votre fournisseur n'est pas prêt, la dépendance de votre entité à son égard est un risque documenté que les superviseurs trouveront.

FAQ

DORA s'applique-t-il aux fournisseurs KYC hors UE qui servent des entités financières européennes ?

Oui. Les règles de gestion du risque lié aux tiers de DORA s'appliquent en fonction du lieu de régulation de l'entité financière, et non du lieu d'implantation du fournisseur. Une banque de l'UE utilisant une plateforme de vérification d'identité basée aux États-Unis doit néanmoins s'assurer que cette plateforme satisfait aux exigences contractuelles de l'article 30 de DORA et participe aux régimes de tests applicables.

Quand la désignation critique de PSTTIC affecte-t-elle mon entité ?

Une fois qu'un prestataire est désigné critique, les entités financières qui l'utilisent doivent s'assurer de la conformité aux recommandations du Superviseur principal. La liste initiale des désignations a été publiée par les AES en 2025. Les entités financières doivent vérifier si l'un de leurs fournisseurs TIC figure sur cette liste.

Une plateforme KYC est-elle toujours un "prestataire tiers de services TIC" sous DORA ?

La définition de DORA est large : toute entreprise fournissant des services TIC à une entité financière de manière continue. Une plateforme de vérification d'identité fournissant des services via API ou en mode SaaS entre dans cette définition. Les solutions sur site où l'entité financière contrôle toute l'infrastructure peuvent être traitées différemment, mais les déploiements hébergés dans le cloud ou hybrides sont généralement dans le périmètre.

Quelles sont les conséquences si le fournisseur KYC d'une entité financière subit une interruption majeure ?

Sous DORA, une interruption majeure d'un prestataire tiers TIC critique provoquant une perturbation opérationnelle des activités réglementées d'une entité financière déclenche des obligations de notification d'incident. L'entité financière doit notifier son ACN dans le délai défini (notification initiale dans les 4 heures suivant la classification, rapport intermédiaire dans les 72 heures, rapport final dans un mois). Le défaut de notification est en lui-même une violation de DORA.

Un agent IA peut-il aider au monitoring des fournisseurs dans le cadre de DORA ?

Oui. Les systèmes agentiques peuvent surveiller les performances SLA, signaler la dégradation des délais de réponse des fournisseurs, suivre les divulgations publiques d'incidents de tiers et déclencher des escalades automatisées. Cela ne remplace pas les obligations de gouvernance humaine sous DORA — la supervision du comité des risques et les droits d'audit restent des processus portés par des personnes — mais cela améliore considérablement la posture de surveillance continue que DORA exige.

DORA interagit-il avec le RGPD pour les données KYC traitées par des tiers ?

Oui, et l'interaction crée des obligations doubles. En vertu du RGPD, les données d'identité traitées par un fournisseur KYC sont soumises aux exigences d'accord de traitement des données et aux règles de transfert de données. En vertu de DORA, la même relation avec le fournisseur est soumise aux obligations de gestion du risque lié aux tiers TIC. Les deux cadres doivent être satisfaits simultanément, ce qui implique généralement un accord combiné couvrant les clauses DPA de l'article 28 du RGPD et les éléments contractuels de l'article 30 de DORA.

Emily Carter