Nearshoring au Portugal et DORA : le contrat avant l'équipe

Nearshoring · 4 min

Pour les banques, assureurs et autres entités financières de l'UE, une équipe au Portugal implique des clauses DORA. Classez les fonctions, fixez les localisations et préparez la sortie.

Nearshoring au Portugal et DORA : le contrat avant l'équipe

TL;DR

Une équipe de nearshoring fournissant des services TIC à une entité financière de l'UE peut être soumise aux règles du DORA relatives aux prestataires tiers, selon le modèle contractuel et les activités exercées.
Déterminer d'abord si le service soutient des fonctions critiques ou importantes fixe le niveau d'exigence contractuelle.
Les localisations de prestation et de traitement des données, ainsi que la sous-traitance, doivent être explicitées dans le contrat.
Des niveaux de service mesurables, des droits d'audit et la restitution des données rendent la relation supervisable.
La stratégie de sortie doit être conçue dès le démarrage, et non à la fin du contrat.

Choisir le Portugal, c'est aussi choisir un contrat supervisé

Pour une banque, un assureur ou un établissement de paiement d'un autre État membre, évaluer une équipe de nearshoring au Portugal ne se résume pas au talent, au coût et à la proximité. Depuis le 17 janvier 2025, le Règlement (UE) 2022/2554, connu sous le nom de DORA, s'applique aux entités financières de l'UE et encadre la manière dont elles recourent à des tiers pour des services de technologies de l'information et de la communication (TIC). Selon le modèle contractuel et les activités effectivement fournies, une équipe externe qui développe, exploite ou soutient les systèmes d'une entité financière peut relever d'une relation avec un prestataire tiers de services TIC au sens du DORA. Il importe donc de distinguer la contractualisation de services TIC de la simple mise à disposition de ressources humaines, en évaluant le cadre concret de chaque relation. Dans ce scénario, le contrat cesse d'être un simple instrument commercial et devient une composante de la gestion des risques. La vraie question pour le décideur est de savoir comment concevoir l'accord et l'équipe pour que la conformité n'ait pas à être reconstruite après le démarrage.

La classification de la fonction détermine le niveau d'exigence

L'article 30 du DORA établit un ensemble de dispositions contractuelles minimales applicables aux accords d'utilisation de services TIC couverts par le règlement, et prévoit des exigences supplémentaires lorsque ces services soutiennent des fonctions critiques ou importantes. Une équipe qui maintient des outils internes à faible impact et une autre qui exploite la plateforme de paiements ne se situent pas au même niveau. Cette classification incombe à l'entité financière et doit précéder la négociation, car elle conditionne les clauses, les informations à enregistrer et l'effort de supervision. Il est de bonne pratique de l'articuler avec le modèle opérationnel du nearshoring, afin que la répartition des responsabilités reflète le risque de chaque service.

Localisation et sous-traitance doivent être écrites

Le contrat doit identifier clairement les fonctions et les services TIC fournis, indiquer si la sous-traitance de services soutenant des fonctions critiques ou importantes, ou de parties significatives de ces services, est autorisée, et établir les conditions applicables conformément au cadre réglementaire. Il doit également identifier les régions ou les pays où les services sont fournis et où les données sont traitées et stockées, en prévoyant la notification préalable de toute modification de ces localisations. En nearshoring, cela oblige à cartographier bien plus que l'adresse du bureau : télétravail, autres centres de livraison du fournisseur, professionnels indépendants et outils de collaboration hébergés sur d'autres territoires. Le fait que le Portugal fasse partie de l'Union européenne peut simplifier l'analyse des obligations de protection des données, mais ne dispense ni de ces clauses ni de la vérification des outils utilisés par l'équipe.

Niveaux de service et audit rendent la relation vérifiable

Pour les services TIC qui soutiennent des fonctions critiques ou importantes, le règlement exige des descriptions des niveaux de service assorties d'objectifs quantitatifs et qualitatifs précis, des obligations de notification des évolutions ayant un impact significatif, ainsi que des droits d'accès, d'inspection et d'audit au profit de l'entité financière, des tiers qu'elle désigne et des autorités compétentes, dans les conditions applicables. En pratique, les indicateurs d'une équipe de nearshoring doivent mesurer les résultats et la disponibilité, et pas seulement les heures facturées. Les journaux d'accès, les preuves de contrôles et les rapports périodiques facilitent la supervision, dans une logique proche de celle que nous défendons dans evidência antes da escala.

La sortie se prépare dès le premier jour

Les contrats couverts par l'article 30 doivent prévoir des mécanismes garantissant l'accès, la récupération et la restitution des données à caractère personnel et non personnel, dans un format facilement accessible, en cas d'insolvabilité, de résolution ou d'interruption des activités du prestataire de services TIC, ou de cessation de l'accord contractuel. Lorsque les services TIC soutiennent des fonctions critiques ou importantes, des exigences spécifiques s'ajoutent concernant les stratégies de sortie, y compris des périodes de transition adéquates permettant de réduire le risque d'interruption des services. En outre, les entités financières doivent tenir et mettre à jour un registre d'informations sur les accords contractuels relatifs à l'utilisation de services TIC fournis par des tiers, et le mettre à la disposition des autorités compétentes conformément aux règles applicables. Pour une équipe externe, la réversibilité exige notamment des connaissances documentées : runbooks, documentation d'architecture, gestion appropriée des accès et mécanismes garantissant le transfert de connaissances et la continuité opérationnelle. Quiconque évalue un modèle d'outsourcing de informática peut traiter ces éléments comme des critères de sélection du fournisseur.

Une conformité conçue dès le départ, non ajoutée après coup

Le DORA n'empêche pas le nearshoring au Portugal, mais il conditionne la manière de le contractualiser et de l'exploiter. Le niveau d'exigence varie selon le type d'entité, la criticité des fonctions, le principe de proportionnalité et l'interprétation de l'autorité de supervision compétente ; les clauses doivent donc être revues avec les équipes juridique et conformité. Classer les fonctions, expliciter les localisations, mesurer le service et préparer la sortie dès le début peut contribuer à réduire le risque d'ajustements tardifs et coûteux.