Quelques réflexions sur les enjeux de l’externalisation pour les établissements des secteurs bancaire et des paiements

A – Contexte de l’externalisation des fonctions essentielles ou importantes

Contexte. La réglementation détaille les conditions applicables en matière d’externalisation de fonctions essentielles ou importantes7. Dans les secteurs bancaire, assurantiel et des paiements, l’ACPR a constaté une augmentation de l’externalisation des prestations présentant un caractère essentiel ou important8.

Qu’est-ce que l’externalisation dans les secteurs bancaire et des paiements ? Les orientations de l’Autorité bancaire européenne (dite EBA pour European Banking Authority) relatives à l’externalisation9 apportent une définition bienvenue. Elles définissent l’externalisation comme un « accord, de quelque forme que ce soit, conclu entre un établissement, un établissement de paiement ou un établissement de monnaie électronique et un prestataire de services, en vertu duquel ce prestataire de services prend en charge un processus ou exécute un service ou une activité qui autrement, serait exécuté par l’établissement, l’établissement de paiement ou l’établissement de monnaie électronique lui-même »10.

Qu’est-ce qu’une fonction essentielle ou importante ? La réglementation définit une fonction essentielle ou importante comme une fonction pour laquelle une anomalie ou une défaillance dans son exécution serait susceptible de nuire sérieusement (i) à la capacité de l’établissement de se conformer aux conditions de leur agrément et à leurs obligations réglementaires, (ii) à ses performances financières ou (iii) à la continuité de ses services et activités11. En d’autres termes, les fonctions essentielles ou importantes sont polymorphes et fondamentales. En pratique, elles peuvent par exemple aller du cloud à la fourniture d’un service lié à l’identification et à la vérification de l’identité de la relation d’affaires ou aux filtrages PPE (personne politiquement exposée) ou au gel des avoirs.

B – Enjeux liés à l’externalisation des fonctions essentielles ou importantes

Assurer le maintien de la qualité de la prestation externalisée. L’externalisation d’une fonction essentielle ou importante revient à externaliser une fonction qui peut nuire sérieusement à l’établissement et, par extension, à ses clients. Dans ce contexte, nous comprenons que la réglementation a notamment entendu demander aux établissements d’identifier les fonctions externalisées et les prestataires (et sous-prestataires) externes, mettre en place un dispositif de bonne gouvernance et une politique d’externalisation, la prise en compte opérationnelle de l’externalisation dans le dispositif de contrôle interne et la mise en place de plans de poursuite de l’activité. Ainsi, à notre sens, la réglementation entend demander aux établissements de mettre en place un contrôle approprié des prestations externalisées. À notre avis, ce contrôle permet de favoriser la fourniture d’une prestation de qualité et d’encadrer le risque lié à l’externalisation.

Un contrat écrit destiné à favoriser la clarté. Les orientations de l’EBA sur l’externalisation énoncent que les droits et obligations de l’établissement de crédit ou l’entreprise d’investissement), de l’établissement de paiement et du prestataire de services devraient être clairement répartis et définis dans un accord écrit12. En droit français, l’arrêté du 3 novembre 2014 indique que « l’externalisation d’activité (…) donne lieu à un contrat écrit entre le prestataire externe et l’entreprise assujettie »13, « définissant clairement les droits et obligations des deux parties »14. Selon notre compréhension, la demande de clarté est de bon aloi dans la mesure (i) où certains contrats peuvent être rédigés de manière difficilement compréhensible et (ii) où il peut être opportun pour les parties d’avoir une vision claire et précise des tâches externalisées. Ainsi, en situation de crise, engendrant un haut niveau de stress, un contrat clair peut éviter des incompréhensions et aider à la mise en œuvre de mesures de remédiation.

La responsabilité de l’établissement. L’externalisation d’une prestation ne transfère pas la responsabilité au prestataire de services. En tant que donneur d’ordres, l’établissement demeure responsable. L’ACPR rappelle à ce propos que « le principe général qui structure le recours à l’externalisation est que les organismes qui externalisent des prestations essentielles ou importantes demeurent pleinement responsables du respect de toutes les obligations qui leur incombent ». Ce rappel se comprend à l’aune des orientations de l’EBA15 et de l’arrêté du 3 novembre 201416.

Le droit d’audit17. Le droit d’audit du prestataire par l’établissement est un droit important. Il est prévu par la réglementation française18 et par les orientations de l’EBA, ces dernières qualifiant même ce droit d’« inconditionnel »19. L’enjeu de cette clause est de permettre le contrôle des prestataires externes. Il s’agit, à notre d’avis, d’une clause structurante puisqu’in fine, ce sont les établissements qui restent responsables des actes des prestataires externalisés. L’ACPR rappelle à ce sujet que « les prestataires ne sauraient entraver la conduite de travaux d’audit en leur sein en imposant des conditions ou des restrictions spécifiques »20.

Manque de substituabilité. Les orientations de l’EBA indiquent que lorsqu’ils évaluent si le dispositif d’externalisation se rapporte à une fonction essentielle ou importante, les établissements devraient notamment prendre en compte « la capacité de transférer le dispositif d’externalisation proposé vers un autre prestataire de services, si nécessaire ou souhaitable, tant sur le plan contractuel que dans la pratique, y compris les risques estimés, les obstacles à la poursuite de l’activité, les coûts et le délai nécessaire pour procéder au transfert (“substituabilité”) »21. En pratique, il arrive que certaines technologies ou services soient difficilement substituables, limitant dès lors le pouvoir de négociation des établissements22. En outre, cette situation peut conduire à la concentration de services critiques auprès d’un seul prestataire de services, pouvant conduire à la création d’un risque systémique23.