Mises à jour et publiées le 30 septembre 2025, les orientations de l’ESMA détaillent des bonnes pratiques visant à aider les entités financières et les autorités nationales à identifier, traiter et assurer le suivi des risques découlant des accords de sous-traitance auprès de prestataires de services en nuage.

La mise à jour de ces orientations, initialement publiées en 2021 par l’ESMA, intervient dans le contexte de l’entrée en application du règlement européen sur la résilience opérationnelle numérique du secteur financier, appelé « règlement DORA », le 17 janvier 2025. Le règlement DORA prévoit déjà des obligations concernant la sous-traitance de services ou de fonctions à des prestataires. En conséquence, seul le périmètre des orientations est modifié pour indiquer que les orientations mises à jour s’appliquent désormais uniquement à certains dépositaires de FIA et d’OPCVM qui ne seraient pas déjà couverts par DORA. En revanche, les obligations prescrites par ces orientations mises à jour ne sont pas modifiées, et restent identiques à celles détaillées dans les précédentes orientations.

Les dépositaires de FIA et d’OPCVM concernés doivent suivre des bonnes pratiques en matière de recours à des prestataires externes pour des services en nuage, parmi lesquelles :

• l’évaluation des risques et les diligences raisonnables à effectuer à l’égard des prestataires de services en nuage ;
• les dispositifs de gouvernance, d’organisation et de contrôle à mettre en place afin de surveiller la performance de leurs prestataires, et de pouvoir mettre fin à leurs accords d’externalisation de services en nuage sans perturber leurs activités ;
• les éléments contractuels devant figurer dans leurs accords d’externalisation de services en nuage ;
• les informations à notifier aux autorités compétentes.