EN BREF
La notion de fonction critique ou importante structure l'ensemble du règlement DORA. Sa définition, très large, repose sur trois critères non cumulatifs : impact financier significatif, atteinte à la solidité ou à la continuité des services, répercussion réglementaire. Des notions voisines existent déjà dans Solvabilité II et la BRRD, mais elles ne peuvent pas être transposées telles quelles.
- 17 janvier 2025 : entrée en application du règlement DORA.
- Article 3.22 de DORA : définition de la fonction critique ou importante.
- Trois critères non cumulatifs : impact financier, continuité des services, conformité réglementaire.
- Solvabilité II : notion d'« activités ou fonctions importantes ou critiques » en assurance et réassurance.
- BRRD : notion de « fonctions critiques » pour le redressement et la résolution.
- 7 août 2023 : réponse de l'EIOPA sur le champ d'application étendu de la définition DORA.
Le règlement européen DORA, en vigueur depuis le 17 janvier 2025, fait largement référence à la notion de fonction critique ou importante. Que ce soit pour la gestion des risques TIC, le traitement des incidents, les tests de résilience opérationnelle ou encore la gestion des risques liés aux prestataires tiers de services TIC, cette notion joue un rôle central dans l'application des mesures de conformité au sein des entités financières.
Une définition large et englobante. DORA fournit une définition très extensive de cette notion. Le règlement décrit une fonction critique ou importante comme « une fonction dont la perturbation est susceptible de nuire sérieusement à la performance financière d'une entité financière, ou à la solidité ou à la continuité de ses services et activités, ou une interruption, une anomalie ou une défaillance de l'exécution de cette fonction est susceptible de nuire sérieusement à la capacité d'une entité financière de respecter en permanence les conditions et obligations de son agrément, ou ses autres obligations découlant des dispositions applicables du droit relatif aux services financiers ».
Trois critères d'identification. Décomposée schématiquement, cette définition permet d'identifier une fonction critique ou importante si elle entraîne, de manière non cumulative : un impact financier significatif ; une atteinte à la solidité ou à la continuité des services ; une répercussion réglementaire, notamment sur la capacité d'une entité financière de respecter en permanence les conditions et obligations de son agrément ou de ses autres obligations juridiques liées au droit relatif aux services financiers.
Un concept déjà présent dans d'autres réglementations. Si cette notion peut paraître nouvelle sous DORA, elle n'est pas entièrement étrangère aux acteurs financiers. Des concepts similaires existent déjà dans d'autres réglementations sectorielles : Solvabilité II mentionne les « activités ou fonctions importantes ou critiques » dans le secteur de l'assurance et de la réassurance ; la BRRD (Bank Recovery and Resolution Directive) fait référence aux « fonctions critiques » pour le redressement et la résolution des établissements financiers.
Une adaptation nécessaire pour DORA. Bien que des parallèles puissent être tracés avec ces autres réglementations, la portée de la définition sous DORA reste plus large. L'Autorité européenne des assurances et des pensions professionnelles (EIOPA), dans sa réponse du 7 août 2023, a d'ailleurs souligné que si le terme « fonction critique ou importante » apparaissait dans d'autres textes, la définition prévue par l'article 3.22 de DORA pouvait s'en éloigner en raison de son champ d'application étendu.
Ainsi, les entités financières devront analyser avec attention les fonctions identifiées sous d'autres réglementations avant de les transposer directement dans le cadre de DORA. Cette approche prudente garantira une mise en conformité adaptée à cette nouvelle exigence.