Si vous vendez à une banque, un assureur ou une société de fiducie canadien(ne), vous avez probablement remarqué des vérifications diligentes plus longues, de nouvelles clauses contractuelles et des demandes de preuves plus fréquentes. Une grande partie de cela découle de la Ligne directrice B-10, Gestion des risques liés aux tiers du BSIF.
Le BSIF a publié la ligne directrice finale le 30 avril 2023, et elle est entrée en vigueur le 1er mai 2024. La ligne directrice B-10 s’applique aux institutions financières sous réglementation fédérale (IFRF), et non directement aux fournisseurs. Cependant, ses attentes se répercutent sur les fournisseurs par le biais des contrats et de la surveillance.
Qui est considéré comme un tiers ?
La définition est large. La ligne directrice B-10 couvre « tout type d’arrangement commercial ou stratégique » entre une IFRF et une autre entité ou un particulier, par contrat ou autrement, à l’exception des relations clients et de l’emploi. La ligne directrice donne des exemples tels que les services externalisés, les consultants professionnels, les fournisseurs de services infonuagiques, les services publics, les télécommunications et les sous-traitants dans la chaîne d’approvisionnement.
En d’autres termes, la ligne directrice B-10 ne se limite pas à l’externalisation traditionnelle. Si vous fournissez des logiciels, des données, des infrastructures ou des services à une IFRF, vous êtes probablement concerné par son programme.
Ce que les IFRF doivent faire, et ce que cela signifie pour vous
Évaluation basée sur les risques
La ligne directrice est proportionnée : les IFRF évaluent les arrangements en fonction du risque et de la criticité, et la ligne directrice B-10 stipule que l’IFRF demeure ultimement responsable des risques de tous les arrangements avec des tiers. Attendez-vous à être interrogé sur la criticité de votre service, les données que vous traitez et ce qui se passerait si vous n’étiez pas disponible.
Vérification diligente avant et pendant la relation
La ligne directrice B-10 décrit une vérification diligente couvrant des domaines tels que la situation financière, la conformité légale et réglementaire, la capacité technique, la continuité des activités et la manière dont vous gérez vos propres sous-traitants. Ayez des preuves à jour prêtes plutôt que de les assembler sous pression.
Conditions contractuelles
Pour les arrangements à risque élevé et critiques, la ligne directrice B-10 exige des accords écrits qui abordent les rôles et responsabilités, la performance, la sécurité des données, les droits d’audit et la résiliation. Les demandes courantes incluent :
- les droits de l’institution et du BSIF d’accéder aux informations et d’effectuer des audits ;
- la notification, ou l’approbation, avant de modifier des sous-traitants importants ;
- la notification rapide des incidents qui affectent le service ;
- l’emplacement, la protection et la restitution ou la destruction des données à la fin du contrat.
Notification d’incident
La ligne directrice B-10 s’attend à ce que les tiers signalent rapidement les incidents afin que l’IFRF puisse respecter ses propres obligations de déclaration. Vérifiez que votre plan de réponse aux incidents inclut des étapes de notification client avec des délais réalistes.
Planification de la sortie et concentration
Pour les arrangements critiques, les IFRF ont besoin de plans de sortie documentés pour les sorties planifiées et sous contrainte. Elles doivent également tenir compte du risque de concentration, tant sur un seul fournisseur que sur l’ensemble du secteur. Soyez prêt à expliquer comment un client pourrait quitter votre service de manière ordonnée.
Surveillance continue
La vérification diligente n’est pas un événement ponctuel. Les IFRF surveillent la performance, la solidité financière et le risque résiduel. Attendez-vous à des réévaluations annuelles ou périodiques, des questionnaires mis à jour et des demandes de rapports actualisés.
Comment les fournisseurs peuvent prendre de l’avance
- Détenez des preuves indépendantes reconnues. Un certificat ISO/CEI 27001, un rapport SOC 2 Type 2 ou, lorsque des données de carte sont impliquées, une validation PCI DSS réduit le nombre de questions et donne aux examinateurs quelque chose sur quoi s’appuyer.
- Connaissez vos propres sous-traitants. Tenez une liste à jour des sous-traitants importants et de la manière dont vous les supervisez. La ligne directrice B-10 s’attend à ce que les IFRF examinent la chaîne d’approvisionnement.
- Préparez un dossier de preuves standard. Politiques, résumé récent des tests d’intrusion, résultats des tests de continuité des activités, certificats d’assurance et processus d’incident.
- Examinez vos modèles de contrat. Décidez à l’avance des conditions d’audit, de notification et de sortie que vous pouvez accepter, afin que les examens juridiques ne bloquent pas chaque transaction.
- Considérez la ligne directrice complémentaire. Les attentes en matière de technologie et de cyber-risques proviennent de la Ligne directrice B-13 du BSIF. Les banques évaluent souvent les fournisseurs par rapport aux deux.
Comment nous pouvons vous aider : Ubitrak aide les fournisseurs à préparer les preuves indépendantes demandées par les institutions financières, Accel GRC assure le suivi des contrôles et des preuves au fil du temps, et KW Consulting soutient la remédiation. Consultez un examen de sécurité, des tests de sécurité, la remédiation, notre division KW Consulting, ou contactez-nous.
Sources
Est-ce que cela s’applique à vous? Une consultation gratuite de 30 minutes relie l’exigence à vos systèmes et vous indique quoi faire ensuite.
Réserver une consultation gratuite