Tout établissement financier assujetti externalise quelque chose. Plateforme bancaire, infrastructure cloud, surveillance des transactions, pans de la compliance, parfois un back-office entier. Le droit suisse de la surveillance le permet, à une condition qui ne varie jamais : l'établissement reste responsable. La FINMA vous surveille, vous — pas votre prestataire.

Les exigences elles-mêmes sont connues : un inventaire des fonctions externalisées, une appréciation de la matérialité, des contrats qui garantissent le contrôle, des droits d'audit et d'accès, une sous-externalisation maîtrisée. La vraie difficulté est ailleurs. Dans la plupart des établissements, trois versions du paysage d'externalisation coexistent : le registre, les contrats, et ce qui se passe réellement en exploitation. Elles commencent alignées. Elles le restent rarement.

Trois versions de la vérité

Le registre dit ce que l'établissement croit avoir externalisé. Les contrats disent ce qui a été convenu, souvent il y a des années. L'exploitation montre ce que le prestataire fait réellement aujourd'hui — ce qui, après quelques demandes de changement, une migration et un lancement de produit, peut être tout autre chose.

Cette dérive n'est pas de la négligence ; c'est le cours normal des choses. Le prestataire active un module, et voilà qu'il traite des données identifiant les clients auxquelles il ne touchait pas. Une équipe interne se réduit, et un simple « appui » devient discrètement la fonction elle-même. Aucune de ces étapes ne ressemble à une décision d'externalisation. Ensemble, elles changent ce que le registre devrait dire et ce que le contrat devrait régir.

Le test qu'applique une autorité de surveillance ou une société d'audit est simple : choisir une fonction externalisée et la suivre à travers le registre, le contrat et la réalité. Si les trois racontent des histoires différentes, le constat s'écrit tout seul.

La matérialité est un jugement — consignez-le

Toute prestation achetée n'est pas une externalisation, et toutes les externalisations ne pèsent pas le même poids. Les obligations les plus lourdes s'attachent aux fonctions essentielles pour l'établissement — centrales pour son activité, sa gestion des risques ou sa conformité. Cette appréciation relève du jugement, et vous devez vous attendre à devoir la défendre.

Deux pratiques la rendent défendable. Premièrement, appréciez la matérialité à l'aune de votre établissement, pas dans l'abstrait : une prestation périphérique pour une grande banque peut être existentielle pour une fintech de douze personnes. Deuxièmement, consignez le raisonnement au moment de la décision, et revoyez-le quand la prestation évolue. Un « non essentiel » d'une ligne, vieux de quatre ans, ne protège personne.

Des droits d'audit et d'accès qui fonctionnent vraiment

Tout contrat d'externalisation conclu avec un établissement réglementé contient des clauses d'audit et d'accès ; les modèles y ont veillé. La question est de savoir si elles fonctionnent. Des droits qui existent sur le papier mais ne peuvent pas être exercés — parce que le prestataire est à l'étranger, parce que la clause couvre le prestataire mais pas le centre de données dont il dépend, parce que « audit » signifie en réalité recevoir le résumé du rapport de quelqu'un d'autre — sont des constats en attente.

Lisez ces clauses de manière opérationnelle. Qui peut se présenter, où, avec quel préavis, pour voir quoi ? Les droits s'étendent-ils à votre autorité de surveillance et à votre société d'audit, et pas seulement à vous ? Pourriez-vous réellement récupérer vos données, sous une forme exploitable, si la relation tournait mal ? Si la réponse honnête à l'une de ces questions est « il faudrait négocier le moment venu », la clause n'a pas rempli son office.

La chaîne sous le contrat

C'est à la sous-externalisation que la visibilité s'arrête d'ordinaire. Votre prestataire externalise vers un spécialiste, le spécialiste tourne sur un hyperscaler, et une fonction de support se trouve dans un pays tiers. Votre responsabilité ne s'arrête pas au premier maillon — votre contrat, lui, s'y arrête souvent.

L'approche praticable n'est pas d'interdire la sous-externalisation — aucun prestataire ne l'acceptera — mais de la structurer : approbation ou au moins notification des sous-prestataires essentiels, répercussion des engagements d'audit et de protection des données dont vous dépendez, et une image à jour de l'endroit où se trouvent réellement vos fonctions et vos données. Qui ne peut pas nommer les pays concernés ne peut pas apprécier le risque.

Garder la carte à jour

Les établissements qui maîtrisent le sujet traitent l'externalisation comme un cycle de vie, pas comme un exercice de classement. Chaque nouvelle prestation et chaque changement significatif passe par le même sas : est-ce une externalisation, est-elle essentielle, que doit garantir le contrat ? Le registre reste à jour parce que le processus l'alimente, pas parce que quelqu'un s'en souvient. Les contrats sont relus quand les prestations changent, pas quand la lettre d'audit arrive.

Savoir si une externalisation donnée est essentielle, et ce que son contrat doit contenir, dépend toujours des circonstances de votre établissement. Mais la discipline consistant à confronter ce que dit le registre, ce que garantissent les contrats et ce que montre l'exploitation est universelle — et c'est exactement le type de lecture structurée que des systèmes font bien, un avocat décidant ensuite ce que signifient les écarts et lesquels corriger en premier. Si vous soupçonnez vos trois versions de la vérité d'avoir divergé, nous vous aidons volontiers à le vérifier.