Pourquoi c’est plus difficile qu’il n’y paraît
Le registre n’est pas une liste de fournisseurs ; c’est un jeu de données relationnel d’une douzaine de modèles liés : entités, contrats, prestataires, services, fonctions, sous-traitants. La difficulté est que les données vivent à quatre endroits (achats, juridique, informatique, métiers) et que le superviseur valide le fichier structurellement avant de le lire. Les entités financières qui l’ont construit dans des tableurs la première année ont découvert que le tenir à jour est la vraie obligation, pas le produire une fois.
Une donnée vivante, pas un export annuel
Le registre doit refléter l’état courant des accords, ce qui veut dire qu’un nouveau contrat, un changement de sous-traitant ou une fonction reclassée doit y atterrir au moment où cela se produit. Cela ne fonctionne que si le registre est une vue sur l’inventaire des fournisseurs, les fiches contrats et la cartographie des fonctions métier que l’organisation tient déjà pour son programme de risque tiers, de sorte que le même fait est saisi une fois et l’export généré à la demande.
Ce qu’il rend possible
Au-delà de l’obligation de reporting, le registre est ce qui rend opérable le reste du chapitre tiers de DORA : le risque de concentration ne se mesure que si le registre montre quelles fonctions dépendent du même prestataire ; les stratégies de sortie ne sont requises que pour les accords qu’il signale comme critiques ou importants ; la supervision des prestataires TIC critiques est désignée à partir des registres agrégés du secteur. Une entité qui en fait la colonne vertébrale de ses données fournisseurs, plutôt qu’un fichier de conformité, obtient l’analyse gratuitement.