La conformité de l’externalisation bancaire ne se résume pas à une clause de confidentialité ajoutée au contrat. Un établissement qui confie des appels, des dossiers ou des saisies à un prestataire reste en effet seul responsable devant son superviseur. Le gain d’efficacité est réel, mais il se construit sur un cadre précis, que beaucoup de projets découvrent trop tard. Voici ce que ce cadre impose, et comment il se traduit dans l’organisation quotidienne.

Qu’exige la conformité de l’externalisation bancaire ?

Elle exige trois choses : qualifier la prestation confiée, encadrer le contrat et contrôler l’exécution. L’arrêté du 3 novembre 2014 prévoit en effet que les établissements qui externalisent des prestations essentielles, critiques ou importantes demeurent pleinement responsables du respect de toutes leurs obligations. Le prestataire exécute, documente et rend compte ; en revanche, il ne reprend aucune responsabilité réglementaire.

Ces régimes se superposent à celui de la protection des données. Notre article sur le traitement de données externalisé et la conformité RGPD traite ce socle commun à tous les secteurs régulés.

Trois régimes à ne pas confondre

Or toutes les prestations externalisées ne relèvent pas du même texte. Confondre ces régimes conduit soit à surcharger un contrat simple, soit à traiter légèrement une prestation qui appelait une notification.

Régime	Ce qu’il vise	Ce qu’il déclenche
Prestation essentielle ou importante	Tâches opérationnelles essentielles ou importantes, au sens de l’arrêté de 2014 et des orientations européennes	Registre des accords, clauses renforcées, plan de contrôle, droit d’audit
Prestataire de services informatiques	Fourniture de services de technologies de l’information, au sens du règlement DORA	Registre d’information, gestion du risque de tiers, tests de résilience
Prestation courante	Tâches sans effet significatif sur la continuité ou la conformité	Cadre contractuel classique, exigences de sécurité et RGPD

Un projet d’externalisation bancaire portant sur des appels clients ne fournit pas, en tant que tel, un service informatique. En revanche, selon les données manipulées et les opérations réalisées, la prestation peut entrer dans la première catégorie. Disons-le franchement : aucun prestataire ne peut trancher cette qualification à la place de la fonction conformité de l’établissement, et une plaquette commerciale qui l’affirme doit alerter.

La responsabilité ne s’externalise pas

C’est le point le plus souvent mal compris. La page de l’ACPR consacrée au contrôle interne rappelle, en s’appuyant sur l’article 237 de l’arrêté du 3 novembre 2014, que les établissements qui externalisent des prestations essentielles, critiques ou importantes demeurent pleinement responsables du respect de toutes les obligations. La définition des tâches opérationnelles essentielles ou importantes figure quant à elle à l’article 10 r) du même arrêté.

L’autorité a par ailleurs publié un communiqué le 22 juillet 2021 pour rappeler aux parties prenantes le respect de leurs obligations, en insistant sur la nécessité de contrôler suffisamment les prestations choisies. Ce message visait un contexte de recours croissant à des prestataires externes pour des services critiques.

Concrètement, un établissement ne peut donc pas se contenter d’un reporting mensuel envoyé par son prestataire. Il lui faut une fonction de contrôle interne qui couvre les activités externalisées, ainsi qu’un plan de contrôle sur pièces et sur place.

Le secteur de l’assurance connaît une logique voisine, avec son propre registre. Notre article sur le centre de contact en assurance et l’immatriculation ORIAS montre comment se lit une frontière de ce type.

Deux registres différents, souvent confondus

Les orientations de l’Autorité bancaire européenne relatives à l’externalisation imposent la tenue d’un registre des accords d’externalisation, dont le contenu minimal figure au point 55 du texte. Ce registre couvre par ailleurs l’ensemble des accords, avec une information renforcée pour les fonctions critiques ou importantes.

Le règlement DORA impose quant à lui un registre d’information portant sur les accords contractuels relatifs à l’utilisation de services de technologies de l’information. L’ACPR indique que ce règlement est entré en application le 17 janvier 2025 et que la remise des registres était attendue pour le 31 mars 2026.

• Le registre issu des orientations européennes recense les externalisations, quel que soit leur objet.
• Le registre d’information DORA recense les accords portant sur des services informatiques.
• Une même relation peut figurer dans les deux, ou dans un seul, selon la nature réelle de la prestation.

Cette distinction a donc un effet pratique immédiat lors d’un appel d’offres. La grille de questions envoyée au prestataire diffère selon le registre concerné, et un prestataire de relation client n’a pas à répondre comme un hébergeur.

Authentification, traçabilité et séparation des responsabilités

Dans un centre de contact financier, quatre mécanismes portent l’essentiel du risque. Ils se décrivent dans le contrat, puis se vérifient sur pièces.

En pratique, la séparation des responsabilités mérite d’être écrite opération par opération. Un conseiller externalisé peut recevoir une demande, vérifier une identité et documenter un dossier ; la validation d’une opération sensible reste chez l’établissement. Cette frontière protège les deux parties, car elle évite qu’une exécution soit lue après coup comme une décision.

Un principe simple complète ce dispositif : le prestataire ne détient que ce dont il a besoin pour l’opération confiée. Les données sensibles doivent être limitées au strict nécessaire, selon le périmètre validé par l’établissement. Nous appliquons la même logique aux traitements confiés par nos clients, dans le prolongement de notre approche du RGPD en externalisation offshore.

L’hébergement fait partie des points contrôlés. Notre article sur l’infrastructure OVH en Europe au service de la sécurité BPO décrit le socle technique sur lequel repose cette conformité.

Contrôler un prestataire bancaire au quotidien

Le contrôle ne commence pas au premier incident. Quatre dispositifs se mettent donc en place dès le démarrage, et ils figurent dans le contrat plutôt que dans une présentation.

Dispositif	Ce qu’il garantit	Point de vigilance
Droit d’audit et accès du superviseur	Contrôle sur pièces et sur place, y compris pour l’autorité	Vérifier qu’il couvre les sites réellement utilisés
Encadrement de la sous-traitance	Information préalable et accord sur toute sous-traitance en chaîne	Clause souvent absente, alors qu’elle est décisive
Plan de continuité	Reprise du service après incident, sur un site de repli	Demander la date du dernier test, pas seulement le document
Réversibilité	Restitution des données et transfert vers un autre prestataire	Formats de restitution à préciser avant la signature

Le plan de continuité mérite une attention particulière dans ce secteur, car une interruption de service se lit immédiatement côté client. Nos dispositifs de continuité d’activité reposent sur plusieurs sites et sur une redondance des liaisons, ce qui permet de basculer une activité sans repartir de zéro.

Ce que ProContact prend en charge pour les acteurs financiers

ProContact opère des centres de contact francophones depuis 2001, à l’Île Maurice, à Madagascar et à Rodrigues. Nos équipes interviennent sur l’accueil téléphonique, la qualification des demandes et le back-office métier externalisé, dans le cadre défini avec la conformité de l’établissement. Les habilitations, les journaux et les règles de conservation sont cadrés avant le démarrage, conformément à notre politique de sécurité et de conformité.

Un point mérite d’être connu en amont. Lorsque le montage l’exige, la contractualisation peut passer par une entité française. Cette possibilité se discute au démarrage, pas après la signature.

Ces modes de fonctionnement relèvent par ailleurs de notre pratique opérationnelle ; les délais et niveaux de service opposables restent ceux définis dans le contrat. Énonçons enfin une limite : un centre de contact ne remplace ni la fonction conformité, ni le contrôle interne de l’établissement. Il exécute, documente et alerte, ce qui libère du temps pour les décisions qui relèvent de la banque, dans le prolongement d’une relation client externalisée maîtrisée.

Ce contrôle rejoint le suivi de performance courant. Savoir mesurer les performances d’un prestataire fournit la trame des revues périodiques attendues par le régulateur.

Questions fréquentes sur la conformité de l’externalisation bancaire

Une banque peut-elle externaliser une prestation essentielle ?

Oui, sous conditions. L’arrêté du 3 novembre 2014 encadre ces prestations et impose notamment un registre, des clauses renforcées et un plan de contrôle. L’établissement conserve en revanche la pleine responsabilité du respect de ses obligations.

Qu’est-ce qu’une prestation de services essentielle externalisée ?

Il s’agit d’une tâche opérationnelle essentielle ou importante au sens de l’article 10 r) de l’arrêté du 3 novembre 2014. Les orientations européennes emploient quant à elles la notion de fonction critique ou importante.

Le règlement DORA s’applique-t-il à un centre de contact ?

DORA vise les prestataires de services de technologies de l’information. Un centre de contact qui traite des appels ne fournit pas un tel service en tant que tel. La qualification dépend toutefois des prestations réellement confiées et se vérifie avec la conformité.

Depuis quand DORA est-il applicable ?

L’ACPR indique une entrée en application le 17 janvier 2025. La remise des registres d’information relatifs aux accords portant sur des services informatiques était attendue pour le 31 mars 2026.

Quelle différence entre le registre des externalisations et le registre DORA ?

Le premier recense les accords d’externalisation, quel que soit leur objet, selon les orientations européennes. Le second porte spécifiquement sur les accords relatifs à l’utilisation de services informatiques. Une même relation peut relever des deux.

Le prestataire peut-il accéder aux données de paiement ?

En pratique, le principe reste celui du besoin d’en connaître. Les données sensibles doivent être limitées au strict nécessaire, selon le périmètre validé par l’établissement.

Comment l’ACPR contrôle-t-elle une activité externalisée ?

Par le contrôle interne de l’établissement d’abord, qui doit couvrir les activités externalisées et prévoir un plan de contrôle sur pièces et sur place. Le contrat doit également garantir l’accès de l’autorité aux informations utiles.

Faut-il encadrer la sous-traitance du prestataire ?

Oui, et cette clause manque souvent. Une sous-traitance en chaîne non déclarée déplace le traitement vers un acteur que l’établissement n’a jamais évalué, alors que sa responsabilité demeure entière.

Que prévoir en cas de fin de contrat ?

Une clause de réversibilité précisant les formats de restitution, les délais et l’accompagnement du transfert. Sans elle, la sortie coûte plus cher que l’externalisation elle-même, et elle expose la continuité du service.

La conformité de l’externalisation bancaire se prépare avant le premier appel

Un dispositif défendable devant un contrôle ne s’improvise pas après coup. Il se construit en revanche au cadrage, quand la qualification de la prestation, les habilitations et le plan de contrôle sont encore des choix ouverts.

La question à poser à un prestataire n’est donc pas « êtes-vous conformes ? », mais « que documentez-vous, pour qui, et à quelle fréquence ? ». Un partenaire capable de répondre précisément à cette question fait gagner du temps à la fonction conformité ; les autres lui en font perdre.

Nos équipes cadrent ce dispositif avec vous dans le cadre de l’audit gratuit, avant tout engagement.

Demander un audit gratuit