Maîtriser l’externalisation de vos activités critiques (Third-party Risk Management) : risques, supervision et bonnes pratiques

1. La formation en résumé

Cette formation vise à maîtriser l’externalisation des activités critiques, aussi appelée Third-party Risk Management (TPRM), en mettant l’accent sur les risques, la supervision et les bonnes pratiques. Destinée aux cadres et managers des secteurs bancaire, assurance et asset management, elle répond à la nécessité d’encadrer les prestations essentielles externalisées (PSEE) génératrices de risques opérationnels, réglementaires et liés à la continuité d’activité. Le programme permet de comprendre les enjeux de l’externalisation, d’évaluer les obligations réglementaires en vigueur, notamment les recommandations de l’EBA, les exigences du RGPD et la mise en place d’un Plan de Continuité d’Activité, tout en développant des dispositifs de contrôle robustes et une gouvernance efficace.

2. Les thèmes abordés

- Les notions fondamentales liées aux prestations essentielles externalisées : enjeux pour l’industrie bancaire, définitions, contexte réglementaire (arrêté de 2014, guidelines EBA 2019, règlement DORA), obligations contractuelles et dispositifs de contrôle, gouvernance et travaux normatifs.
- L’éligibilité, la classification et l’approche par les risques : critères d’éligibilité, typologie des risques (quantitatifs et qualitatifs), lien avec les cartographies de risques.
- Le périmètre du contrôle interne des prestations externalisées : conformité contractuelle, situation financière des prestataires, certifications, gouvernance, contrôle interne de la prestation, gestion des incidents, fiabilité des reportings, systèmes d’information et continuité d’activité.
- La mise en œuvre du contrôle permanent et périodique : responsabilités des organes de contrôle, niveaux de surveillance, contrôles sur pièces et sur place, élaboration de plans de contrôle et guides d’audit, suivi des recommandations d’audit.
- Synthèse et conclusion avec évaluation des acquis.

Cette formation aborde également en profondeur les exigences européennes (EBA) sur la cartographie des fonctions externalisées, les clauses contractuelles spécifiques, la surveillance continue et les sanctions en cas de non-conformité. L’intégration des obligations RGPD dans la gestion des PSEE est un autre volet essentiel, traitant de la protection des données personnelles, des responsabilités partagées avec les sous-traitants, et des mécanismes de traçabilité et d’audit. Enfin, la formation inclut la mise en place et le pilotage d’un Plan de Continuité d’Activité pour garantir la résilience opérationnelle en cas de crise ou de défaillance des prestataires.

3. Éléments de méthodologie de la formation

L’approche pédagogique combine exposés théoriques illustrés par des exemples concrets, alternance d’exercices pratiques, QCU, questions/réponses et synthèses pour assurer la compréhension et la validation des acquis. Les supports incluent une documentation PowerPoint complète. Cette méthodologie favorise l’acquisition d’une posture proactive face aux audits de conformité et au pilotage rigoureux des risques liés à l’externalisation, tout en s’appuyant sur des référentiels normatifs et réglementaires actualisés.