Community Trust ScoreVérifié
La Banque d’Angleterre, la PRA et la FCA surveillent désormais. Pas seulement les banques. Pas seulement les assureurs. Les fournisseurs tiers sur lesquels ces entreprises s’appuient — plateformes cloud, entreprises d’infrastructure technologique, quiconque est suffisamment essentiel pour perturber des pans du système financier s’ils vacillent — sont désormais officiellement concernés par un nouveau régime de surveillance au Royaume-Uni.
C’est un changement assez significatif. Pendant des années, la réglementation financière britannique disait essentiellement aux entreprises individuelles : gérez votre propre résilience. Élaborez vos propres plans de reprise. Testez vos propres systèmes. Et les entreprises l’ont fait, plus ou moins. Mais le problème est que des dizaines de banques, d’assureurs et de sociétés de paiement dépendent toutes du même petit nombre de fournisseurs. Si l’un de ces fournisseurs tombe en panne, la perturbation ne reste pas contenue. Elle se propage. Rapidement.
Pourquoi l’ancien modèle n’était pas suffisant
La dépendance du secteur financier à l’égard d’une infrastructure partagée a fortement augmenté. L’informatique en nuage, les services de données, les plateformes technologiques — ce ne sont plus des outils de niche. Ils constituent essentiellement l’épine dorsale du fonctionnement quotidien des services financiers. Et cette concentration crée un type de risque spécifique que les règles au niveau des entreprises ne peuvent pas vraiment aborder seules.
Des incidents récents de cybersécurité dans de grandes entreprises ont rendu le problème difficile à ignorer. Une seule perturbation touchant un fournisseur largement utilisé peut avoir des répercussions que même une entreprise bien préparée ne peut absorber entièrement seule. Les régulateurs semblent avoir examiné ce schéma et décidé qu’une vue d’ensemble du système manquait.
En 2025, une part significative des incidents signalés à la FCA impliquait des problèmes tiers. Un pourcentage notable de ceux-ci était lié à la cybersécurité. Ce n’est pas une coïncidence — c’est probablement l’argument le plus clair pour expliquer pourquoi le régime existe.
Le nouveau cadre ne remplace pas ce que les entreprises doivent déjà faire. Les banques et les assureurs restent responsables de leurs propres obligations en matière de résilience. Ils ne peuvent pas désigner un fournisseur tiers et dire que c’est désormais le régulateur qui s’en occupe. Mais le régime ajoute une couche supplémentaire, qui examine l’ensemble du système plutôt qu’une seule institution.
Ce que les tiers critiques doivent réellement faire
La désignation en tant que tiers critique s’accompagne de réelles attentes. Ces fournisseurs doivent identifier et gérer les risques liés aux services qu’ils offrent aux entreprises financières britanniques. Ils doivent tester leurs mesures de résilience, pas seulement les documenter. Et ils doivent maintenir une communication ouverte avec les régulateurs et les entreprises qu’ils servent — surtout lorsque quelque chose ne va pas.
Les exercices de test conjoints en font partie. Tout comme le partage d’auto-évaluations avec les entreprises concernées. L’idée est la transparence : si un fournisseur sait qu’il porte un poids systémique, il doit être capable de montrer son travail. Les régulateurs veulent voir les tests de résistance, les évaluations des risques, les plans de réponse. Pas seulement entendre qu’ils existent.
L’objectif, tel que le cadre le définit, est que les consommateurs et les entreprises bénéficient de services plus fiables et de temps de récupération plus rapides lorsque des perturbations surviennent. Parce que des perturbations se produiront. Le régime ne prétend pas le contraire. Il essaie de s’assurer qu’elles ne se propagent pas.
Engagement proactif, pas seulement conformité
Il y a un ton dans le nouveau cadre qui mérite d’être noté. Ce n’est pas purement punitif. La FCA et la PRA semblent vouloir que les fournisseurs désignés s’engagent de manière proactive — testant en continu, partageant les informations rapidement, traitant les organes de surveillance comme des partenaires dans la résilience plutôt que comme de simples auditeurs à satisfaire une fois par an.
C’est une demande plus difficile qu’il n’y paraît. Les fournisseurs qui servent plusieurs entreprises réglementées travaillent souvent dans le cadre de différentes relations contractuelles, différents accords de partage de données, différents cadres juridiques. Les amener à partager des informations de manière large et rapide lors d’un incident actif — cela nécessite une coordination qui n’existe probablement pas encore dans la plupart des cas.
Pourtant, les régulateurs ont clairement exprimé leur position. Les sites de la FCA et de la PRA fournissent des orientations supplémentaires pour les entreprises et les fournisseurs désignés naviguant dans les nouvelles exigences. L’information est là. L’attente est que les entreprises l’utilisent.
Pour les entreprises financières spécifiquement, le message est assez direct : continuez à identifier vos dépendances aux services critiques. Ne supposez pas que la désignation d’un tiers signifie que ce fournisseur est désormais le problème de quelqu’un d’autre. La nature interconnectée des services financiers modernes signifie qu’une défaillance à un nœud peut toucher bien plus qu’une seule entreprise. Le régime est construit autour de cette réalité.
Que les fournisseurs s’engagent véritablement ou se contentent de cocher des cases reste à voir. Le régime est maintenant en vigueur, et le véritable test viendra lorsque quelque chose se cassera.
Questions Fréquentes
Quels régulateurs supervisent les tiers critiques dans le cadre du nouveau régime britannique ?
La Banque d’Angleterre, l’Autorité de régulation prudentielle (PRA) et l’Autorité de conduite financière (FCA) supervisent conjointement les fournisseurs tiers critiques dans le cadre du nouveau cadre.
Que doivent faire les tiers critiques désignés dans le cadre de ce régime ?
Ils doivent identifier et gérer les risques liés à leurs services, effectuer des tests de résilience, partager des auto-évaluations avec les entreprises concernées et maintenir une communication ouverte avec les régulateurs — en particulier lors de perturbations.
