Risque de tiers : l’ABE finalise ses lignes directrices, deux ans pour passer de l’externalisation au registre unique

Mise à jour – 8 novembre 2026. Fin octobre 2026, les lignes directrices étaient toujours en attente de traduction dans les langues officielles de l’Union : leur date d’application n’est donc pas encore fixée. Les lignes directrices de 2019 sur l’externalisation seront abrogées à cette même date. La mise en conformité se fait en deux temps : les accords qui soutiennent des fonctions critiques ou importantes doivent être revus et documentés dans les deux ans suivant la date d’application, les autres lors de leur renouvellement. Une fois les traductions publiées, les autorités nationales disposeront de deux mois pour indiquer si elles s’y conforment ou expliquer pourquoi elles ne le font pas.

Le 18 septembre 2026, l’Autorité bancaire européenne (ABE) a publié la version finale de ses lignes directrices sur la gestion du risque de tiers. Elles remplacent la logique d’« externalisation » des lignes directrices de 2019 par celle d’« accord avec un tiers », couvrent les services TIC comme non TIC et prévoient une période transitoire de deux ans. Pour un établissement, ce n’est pas une mise à jour documentaire : c’est un programme de transformation qui touche les contrats, le registre et la gouvernance.

Ce que l’ABE a publié le 18 septembre 2026

Le texte final est paru le 18 septembre 2026. Il est en attente de traduction dans les langues officielles de l’Union, étape qui conditionne sa date d’application. Selon le communiqué de l’ABE, il présente cinq caractéristiques :

• Un recentrage sur les fonctions critiques ou importantes (FCI). Les exigences les plus lourdes visent les accords dont la défaillance nuirait sensiblement à l’activité de l’entité. Les accords moins significatifs sont allégés.
• Une approche globale, TIC et non TIC. Le même cadre couvre les deux familles de services.
• Le cycle de vie complet : évaluation des risques, diligence préalable, contractualisation, sous-traitance, suivi, documentation et stratégies de sortie.
• Un alignement international sur les principes du Comité de Bâle pour la gestion saine du risque de tiers, publiés le 10 décembre 2025.
• Une période transitoire de deux ans.

La base juridique est l’article 74 de la directive 2013/36/UE (CRD). L’ABE a aussi tenu compte de PSD2, de la directive IFD, de MiFID II et de MiCA. Le périmètre dépasse donc les seuls établissements de crédit.

De l’externalisation à l’accord avec un tiers

Lors de la consultation ouverte le 8 juillet 2025 et close le 8 octobre 2025, l’ABE présentait déjà ce texte comme la révision de ses lignes directrices de 2019 sur l’externalisation, mise en cohérence avec DORA. Le projet prévoyait la possibilité de tenir un registre unique pour les services TIC et non TIC. Le Comité de Bâle décrit le même mouvement : faire évoluer la notion traditionnelle d’externalisation vers un ensemble plus large d’accords avec des tiers.

Pourquoi c’est un chantier de transformation

Trois raisons font de ce texte un sujet de programme plutôt que de conformité ponctuelle.

Le périmètre bouge. Des services jusqu’ici hors du registre des externalisations peuvent devenir des accords avec des tiers à inventorier. Il faut repasser sur le portefeuille fournisseurs, pas seulement sur la liste des externalisations existantes.

Les données doivent converger. Depuis DORA, la plupart des établissements tiennent un registre d’information TIC outillé. Maintenir à côté un registre non TIC dans un tableur crée deux référentiels, deux circuits de validation et des écarts. Un registre unique suppose un modèle de données commun, des propriétaires identifiés et des contrôles de qualité.

Les contrats doivent être revus. Le projet de 2025 prévoyait que la période transitoire serve à revoir et amender les accords existants et à mettre à jour le registre non TIC. Deux ans pour renégocier un stock de contrats, c’est court si l’on attend la dernière année.

La désignation par les autorités européennes de surveillance, le 18 novembre 2025, des premiers prestataires tiers critiques de services TIC n’allège pas ce travail. La surveillance de ces prestataires par les autorités européennes ne transfère pas à celles-ci la responsabilité de l’établissement sur ses propres accords.

Un calendrier à piloter comme un programme

Nous recommandons de découper la transition en quatre lots :

1. Cadrage : lecture du texte définitif, analyse d’écart avec la politique d’externalisation actuelle, fixation de la date d’application une fois les traductions publiées.
2. Inventaire et classification : recensement des accords avec des tiers, qualification FCI ou non, rattachement à un propriétaire métier.
3. Registre : décision sur le registre unique, modèle de données, reprise de l’existant, contrôles.
4. Remédiation contractuelle et plans de sortie : priorisation par criticité, vagues de renégociation, tests des stratégies de sortie sur les FCI.

Les lots 2 et 3 conditionnent le lot 4. Sans inventaire fiable, la priorisation des renégociations est arbitraire.

Ce que ça change pour vous

1. Lancez l’analyse d’écart dès ce trimestre, sur la base du texte publié le 18 septembre 2026, sans attendre les traductions. Elles fixent la date, pas le fond.
2. Tranchez tôt la question du registre unique. C’est la décision qui a le plus d’effet sur l’outillage, la charge des équipes et la qualité des données remontées au superviseur.
3. Priorisez la remédiation contractuelle par criticité : fonctions critiques ou importantes d’abord, avec une trajectoire mesurable sur les deux ans et un point de passage à mi-parcours devant l’organe de direction.

Helios Advisory accompagne les établissements dans le cadrage et le pilotage de ce type de programme : découvrez nos services.

Sources

• ABE — The EBA publishes its final Guidelines on the management of third-party risk, 18 septembre 2026
• ABE — The EBA launches consultation on its draft Guidelines on third-party risk management, 8 juillet 2025
• Comité de Bâle (BRI) — Principles for the sound management of third-party risk, 10 décembre 2025
• ABE, AEAPP, AEMF — Designation of critical ICT third-party providers under DORA, 18 novembre 2025
• EUR-Lex — Règlement (UE) 2022/2554 (DORA)