Mise à jour 7 de l'AFM sur DORA : bons progrès sur les registres, mais des écarts persistent sur la qualité des TIC et la déclaration des incidents
L'Autorité néerlandaise des marchés financiers (AFM) a publié sa septième mise à jour de suivi de DORA le 6 août 2026, et elle comporte un verdict partagé. Les registres TIC de tiers approuvés par l'ABE sont passés de 40 % en 2025 à 94 % en 2026, ce qui constitue un véritable bond en avant. Dans le même temps, l'AFM a identifié des faiblesses persistantes dans la qualité des données des registres, la documentation des politiques et les volumes de notification d'incidents, qu'elle attend des entreprises qu'elles corrigent sans délai. Pour les cabinets comptables, les auditeurs et les directeurs financiers opérant dans le secteur financier néerlandais et plus largement européen, cette mise à jour est une check-list sans en porter le nom.
Ce que DORA exige et pourquoi l'AFM reste vigilante
Le règlement sur la résilience opérationnelle numérique (DORA) est entré en vigueur dans toute l'UE en janvier 2025, imposant des exigences contraignantes aux entités financières couvrant la gestion des risques TIC, la classification et la déclaration des incidents, la surveillance des risques liés aux tiers et les tests de résilience numérique. L'AFM est l'autorité compétente désignée pour la plupart des entreprises financières agréées aux Pays-Bas, et elle mène des examens de surveillance depuis la date d'application de DORA.
Portée des examens de surveillance
La supervision de l'AFM couvre les cadres politiques TIC, les procédures et les registres que les entreprises doivent tenir pour documenter leur utilisation de prestataires de services TIC tiers. L'ABE gère un registre centralisé de ces prestataires, et les autorités compétentes nationales évaluent si les entrées soumises par les entreprises de leur juridiction respectent le format et les normes de complétude requis. Le bond à 94 % d'approbation est attribué, selon l'évaluation de l'AFM elle-même, en grande partie à la familiarité croissante des entreprises avec le format requis plutôt qu'à des améliorations substantielles de la qualité des données sous-jacentes. Cette distinction importe car la conformité du format et l'exactitude substantielle ne sont pas la même chose.
Les trois écarts spécifiques identifiés par l'AFM
La mise à jour ne se lit pas comme un avis de félicitations. L'AFM utilise ses constatations de surveillance pour mettre en évidence trois domaines où des actions sont encore nécessaires.
1. Qualité du registre TIC et données sous-jacentes
L'AFM avertit explicitement que les entreprises ne doivent pas considérer l'approbation du registre comme un feu vert sur la qualité des données. L'approbation signifie que le format était acceptable ; elle ne valide pas l'exactitude ou la complétude des informations saisies. Le régulateur appelle les entreprises à maintenir une attention continue à la qualité du registre et de ses données sous-jacentes afin que les futures demandes d'informations des superviseurs puissent être traitées sans heurt. Pour toute entreprise qui a soumis un registre et est passée à autre chose, c'est une incitation directe à planifier un contrôle de l'exactitude des données.
2. Documentation des politiques et auto-évaluation périodique
Les enquêtes de surveillance ont révélé que toutes les entreprises ne détiennent pas chaque document politique et procédure obligatoire que DORA exige, et que certains de ceux qui existent ne reflètent pas avec précision la manière dont l'entreprise fonctionne réellement. L'instruction de l'AFM est claire : les entreprises doivent vérifier que leur cadre de gestion des risques TIC, leurs politiques et leurs procédures sont à jour et alignés sur la pratique quotidienne.
Un sous-problème spécifique se pose pour les entreprises qui s'appuient sur des politiques de groupe rédigées par une entité mère ou une fonction de conformité du groupe. DORA place la responsabilité réglementaire clairement sur l'entité agréée, pas sur le groupe. Une entreprise ne peut pas déléguer sa responsabilité vers le haut. Si une politique a été rédigée au niveau du groupe, l'entité agréée doit vérifier indépendamment que chaque exigence DORA applicable est réellement couverte dans ce document. L'AFM précise que le titulaire de la licence reste responsable, quelle que soit l'origine de la politique.
3. Détection, classification et notification des incidents
Les volumes de déclaration d'incidents reçus par l'AFM sont inférieurs à ce que le régulateur attendait compte tenu de la taille et du niveau d'activité de la population supervisée. Cela indique un ou plusieurs des éléments suivants : les incidents ne sont pas détectés rapidement, ils sont classés sous les seuils qui déclenchent une obligation de déclaration, ou le flux de travail interne de la détection à la notification ne fonctionne pas dans les délais légalement requis. L'instruction de l'AFM est de s'assurer que les incidents sont détectés rapidement, classés correctement et signalés au régulateur dans les délais statutaires lorsque cette obligation s'applique.
Calculs des seuils pour les intermédiaires d'assurance
Une partie plus technique de la mise à jour concerne spécifiquement les intermédiaires d'assurance. Des orientations supplémentaires sont désormais disponibles sur la manière de calculer les valeurs de seuil lorsque l'intermédiation en assurance ne représente qu'une partie mineure des activités globales d'une entreprise. Des clarifications parallèles ont également été fournies sur les calculs de seuils au sein des structures de groupe. Tout intermédiaire d'assurance qui n'a pas déjà examiné les Q&R pertinents devrait le faire pour déterminer si sa méthodologie actuelle de seuils nécessite un ajustement.
Ce que cela signifie pour les cabinets comptables, les auditeurs et les directeurs financiers
Le champ d'application direct de DORA couvre les entités financières, mais la charge de travail pratique incombe aux équipes de conformité, aux fonctions d'audit interne, aux auditeurs externes et aux conseillers sur lesquels ces entreprises s'appuient. La mise à jour de l'AFM renforce plusieurs obligations d'audit et de conseil.
Implications pour l'audit et l'assurance
Les auditeurs externes examinant les programmes de conformité DORA devraient traiter les constatations spécifiques de l'AFM comme un cadre pour le travail sur le terrain. Les trois lacunes identifiées, l'exactitude du registre, la complétude des politiques et la fonctionnalité du processus d'incident, correspondent directement aux procédures d'audit. Un examen qui confirme l'approbation de l'enregistrement à l'ABE au niveau du format sans tester l'exactitude des données sous-jacentes ne fournit pas l'assurance que les clients et les régulateurs attendent désormais.
Pour les entreprises qui utilisent un logiciel de comptabilité crypto ou un logiciel de comptabilité pour actifs numériques dans le cadre de leur parc informatique, ces outils sont considérés comme des services TIC dans le cadre de DORA s'ils sont matériels pour la continuité opérationnelle de l'entreprise. Cela signifie que les contrats, niveaux de service, chaînes de sous-traitance et risques de concentration associés à ces outils peuvent devoir figurer dans le registre TIC des tiers. Les auditeurs devraient demander si l'entreprise a effectué cette évaluation et documenté sa conclusion.
Actions pour les directeurs financiers et la fonction finance
Les directeurs financiers des entités financières agréées aux Pays-Bas portent la responsabilité budgétaire et de gouvernance du parc informatique couvert par DORA. La mise à jour crée au moins trois actions à court terme au niveau de la finance et de la gouvernance.
Premièrement, commander un contrôle de la qualité des données du registre TIC des tiers s'il n'a pas été effectué depuis la soumission initiale. L'approbation du format ne remplace pas l'exactitude. Deuxièmement, demander une confirmation au service juridique ou de conformité que chaque document politique obligatoire DORA existe, est à jour et reflète la pratique opérationnelle réelle. Si l'entreprise s'appuie sur des politiques de groupe, l'examen doit confirmer que ces documents respectent pleinement la norme DORA pour l'entité agréée spécifiquement. Troisièmement, vérifier que le processus de gestion des incidents dispose d'un flux de travail de détection à notification fonctionnel avec une propriété définie et des délais documentés. Si les volumes de déclaration d'incidents en interne sont faibles, cela peut indiquer un problème de classification ou de détection plutôt qu'une fréquence d'incidents réellement faible.
Implications pour les entreprises de crypto-actifs et d'actifs numériques
Les prestataires de services de crypto-actifs et autres entreprises d'actifs numériques qui détiennent des licences néerlandaises ou des autorisations de passeport sont soumis à DORA sur la même base que les entreprises financières traditionnelles. Pour ces entités, le registre TIC des risques liés aux tiers est particulièrement complexe car la pile technique comprend souvent un plus grand nombre de dépendances tierces : fournisseurs de nœuds de blockchain, dépositaires, services d'oracles et plateformes logicielles en tant que service. Chaque dépendance matérielle nécessite une évaluation et, le cas échéant, son inclusion dans le registre.
L'écart de déclaration des incidents signalé par l'AFM est particulièrement pertinent ici. Les opérations d'actifs numériques sont exposées à une gamme plus large d'incidents opérationnels, des défaillances de contrats intelligents et des événements de gestion des clés aux pannes de connectivité des échanges, que les services financiers traditionnels. Si les critères de classification des incidents n'ont pas été calibrés pour cet environnement, des événements signalables peuvent passer inaperçus. Les entreprises doivent mapper les critères de classification des incidents de DORA par rapport aux types spécifiques d'incidents que leurs opérations génèrent.
Pour les entreprises utilisant un logiciel de comptabilité crypto ou un autre logiciel de comptabilité pour actifs numériques intégré aux flux de reporting financier de base, cette intégration elle-même justifie une évaluation de matérialité DORA. La question est de savoir si une interruption de ce logiciel nuirait à la capacité de l'entreprise à respecter ses obligations de reporting financier ou réglementaires. Si la réponse est oui, le fournisseur appartient probablement au registre TIC des tiers.
C'est également une considération pertinente dans le contexte de la quatrième mise à jour du registre MiCA CASP de l'ESMA, qui a élargi la population de prestataires de services de crypto-actifs autorisés dans toute l'UE. À mesure que davantage d'entreprises obtiennent une autorisation formelle, les obligations DORA s'appliquent pleinement à elles à partir du point de licence, et non après une période de transition. La mise à jour de l'AFM est un rappel opportun que la conformité DORA est un programme continu, pas un projet de mise en œuvre unique.
Auto-évaluation périodique comme discipline de conformité
L'une des recommandations les plus pratiques de la mise à jour de l'AFM est l'appel à une auto-évaluation périodique de la conformité DORA. Le mot périodique est délibéré. Les exigences DORA ne changent pas à chaque cycle réglementaire, mais les opérations, les contrats et le parc informatique de l'entreprise changent. Une politique qui était exacte lors de la mise en œuvre peut ne pas refléter la pratique actuelle douze mois plus tard. Un registre qui était complet lors de la soumission peut omettre des services ajoutés depuis lors.
Construire un calendrier d'auto-évaluation
Les entreprises devraient traiter l'auto-évaluation DORA comme une activité planifiée, et non réactive. Une approche pratique consiste à aligner le cycle d'examen sur le calendrier annuel d'évaluation des risques et de planification d'audit de l'entreprise. L'examen devrait couvrir : la complétude et l'exactitude du registre TIC des tiers ; l'actualité et l'exactitude opérationnelle de tous les documents politiques obligatoires ; la fonctionnalité du flux de travail de détection, de classification et de déclaration des incidents ; et, pour les structures de groupe-filiales, la confirmation que les politiques de groupe satisfont pleinement aux obligations de l'entité agréée.
Les conseillers travaillant sur les meilleures pratiques AML et sanctions pour les entreprises d'actifs numériques reconnaîtront ce rythme. La résilience opérationnelle, comme la conformité AML, nécessite une surveillance continue plutôt qu'une évaluation ponctuelle. La mise à jour de l'AFM renforce ce principe explicitement.
Questions fréquemment posées
DORA s'applique-t-elle aux prestataires de services de crypto-actifs agréés aux Pays-Bas ?
Oui. Toute entité détenant une licence du secteur financier aux Pays-Bas, y compris celles autorisées en vertu de MiCA en tant que prestataires de services de crypto-actifs, relève du champ d'application de DORA. L'AFM est l'autorité compétente pour la plupart de ces entreprises et applique les exigences DORA sur la même base que pour les banques, les entreprises d'investissement et les assureurs.
Que confirme réellement l'approbation du registre de l'ABE ?
L'approbation de l'ABE d'un registre TIC de tiers confirme que la soumission respectait le format requis. Elle ne valide pas l'exactitude, la complétude ou l'actualité des données sous-jacentes. L'AFM a explicitement déclaré que les entreprises ne doivent pas considérer l'approbation du format comme un feu vert sur la qualité.
Une entreprise peut-elle s'appuyer sur des politiques DORA de groupe préparées par sa société mère ?
Une entreprise peut utiliser les politiques de groupe comme base, mais elle ne peut pas simplement les adopter sans vérification indépendante. DORA place la responsabilité de la conformité sur l'entité agréée. L'entreprise doit confirmer que chaque exigence DORA qui lui est applicable est entièrement couverte dans ces documents. Si des lacunes existent, l'entreprise est responsable, pas le groupe.
Pourquoi les volumes de déclaration d'incidents sont-ils inférieurs aux attentes de l'AFM ?
L'AFM n'a pas précisé de cause unique, mais les facteurs probables incluent des incidents classés sous les seuils qui déclenchent une obligation de déclaration, des retards de détection qui repoussent les notifications hors des délais légaux, ou des lacunes dans le flux de travail interne entre l'identification de l'incident et la notification réglementaire. Les entreprises devraient examiner chaque étape de ce processus.
Un logiciel de comptabilité crypto doit-il apparaître dans le registre TIC des tiers d'une entreprise ?
Cela dépend d'une évaluation de matérialité. Si une interruption du logiciel nuirait à la capacité de l'entreprise à respecter ses obligations de reporting financier, de service à la clientèle ou réglementaires, il est probablement matériel et devrait être inclus. Les entreprises devraient documenter leur raisonnement d'évaluation quelle que soit la conclusion qu'elles atteignent.
Source : AFM (Autoriteit Financiële Markten)