Le registre d'information, livrable le plus sous-estimé de DORA

La confusion initiale

La plupart des organisations abordent l'article 28 de DORA comme une formalité documentaire : « nous avons déjà une liste de nos prestataires informatiques ». Cette phrase, entendue à peu près partout au démarrage, sous-estime le travail d'un facteur trois à cinq.

Le registre d'information n'est pas une liste. C'est un ensemble de tables reliées, alimentant un modèle défini par les autorités européennes de surveillance, qui décrit les entités du groupe qui contractent, les accords contractuels avec leurs caractéristiques, les prestataires identifiés par leur identifiant d'entité juridique, les fonctions supportées avec leur criticité, les chaînes de sous-traitance pour les fonctions critiques, et les liens entre tous ces objets.

Trois écueils de périmètre

Le premier écueil consiste à se limiter à l'externalisation « significative » au sens des anciennes orientations bancaires. DORA couvre tous les accords portant sur des services TIC, quelle que soit leur importance. Une licence logicielle en mode service, un outil de signature électronique, un service de messagerie : tout y entre. Le tri par criticité vient ensuite, et détermine l'application des exigences renforcées de l'article 30 — il ne conditionne pas l'inscription au registre.

Le deuxième écueil est de traiter le registre comme un inventaire d'achats. L'axe structurant n'est pas le contrat mais la fonction supportée. Sans la cartographie de l'article 8 — fonction critique, actifs TIC, tiers — le registre ne peut pas être rempli correctement, parce que le champ de rattachement à la fonction reste vide.

Le troisième écueil est d'ignorer le rang 2. Pour les fonctions critiques, la chaîne de sous-traitance doit être tracée. Cette information ne s'obtient que si le contrat l'exige, ou si la relation permet de la demander. Elle ne se déduit d'aucun système interne.

Ce qui prend le plus de temps

Dans les projets observés, la répartition de l'effort est assez stable : environ un tiers pour le recensement exhaustif des accords, un tiers pour le rattachement aux fonctions, et un tiers pour la collecte des données manquantes auprès des prestataires — identifiants d'entité juridique, lieux de traitement, sous-traitants.

C'est ce dernier tiers qui surprend, parce qu'il dépend de tiers qui n'ont aucune obligation de répondre vite et qui reçoivent la même demande de plusieurs dizaines de clients simultanément.

La seule approche soutenable

Un registre construit par campagne annuelle se dégrade en six mois. Le seul modèle qui tient consiste à l'alimenter par le processus achat : aucun contrat TIC n'est signé sans que les champs du registre soient renseignés, et le rattachement à la fonction est une condition de validation.

Cela suppose de modifier un processus existant plutôt que de lancer un projet — ce qui est plus difficile politiquement, et infiniment moins coûteux dans la durée.